用途：该技能用于在开发中安全处理 API 密钥、密码、令牌、私钥等敏感凭据，避免密钥在源码、配置文件或日志中泄露。
主要规则：不得在源文件、提交到 git 的配置或日志中硬编码密钥；本地开发使用环境变量（python-dotenv）；生产环境使用密钥管理服务（AWS Secrets Manager、HashiCorp Vault、1Password CLI）；首次提交前将 .env 和 *.pem 加入 .gitignore；密钥一旦暴露（提交、日志或错误信息中泄露）应立即轮换。
扫描与防护：可在 CI 中使用 ggshield、truffleHog 或 git-secrets 阻止包含密钥的提交。
应避免的反模式：生产代码中使用 os.environ.get('KEY', 'hardcoded_default')；记录可能包含令牌的完整请求/响应体。
限制：资料仅列出上述规则与工具，未提供具体安装命令、配置示例、收费或平台细节。