把密码写进镜像或提交到代码仓库，会让分发范围难以控制；把所有秘密都写进一个共享部署文件，也可能导致权限过大。配置方案需要覆盖存储、注入、轮换与审计。
先列明哪些值属于秘密
数据库凭证、签名密钥和外部平台令牌应区别于普通功能开关。列出谁能读取、谁能修改、应用在哪个阶段使用。开发和生产不应因为部署方便而共享同一组高权限凭证。
不让秘密进入构建产物与日志
构建参数、镜像层和流水线输出都要检查。运行时注入也不是自动安全，仍要限制宿主机和平台访问权限。应用异常处理不要输出整个配置对象，排查时优先显示配置项名称与版本。
为轮换设计兼容窗口
更换凭证前确认使用方、更新顺序与旧凭证撤销条件。对于需要重启的应用，安排部署和回退；允许短期共存的凭证，也应明确清理期限。不要等泄露事件发生后才第一次尝试轮换。
验收凭证失效与恢复
在测试环境轮换一次数据库或外部接口凭证，确认应用恢复、旧值失效且日志没有泄露内容。交付记录应包含访问责任，不只是一份加密文件。
常见问题：使用环境变量就足够安全吗？
环境变量是一种注入方式，不等于完整的秘密管理；权限、日志、运维操作和轮换仍需设计。
技术参考：Docker：镜像构建实践。具体接口与配置请结合使用版本核对。
将评估落实到你的系统
如果你的 .NET 应用还缺少可重复的部署、观察或恢复流程，可以通过容器化与自动化交付服务梳理现状，约定实施内容、演练场景与运维交接方式。