用途：在 CI/CD 流程中安全地管理密钥与凭据，避免明文泄露。
主要能力：对比常见密钥管理工具——HashiCorp Vault（集中式、动态密钥）、AWS Secrets Manager（AWS 原生、自动轮换）、Azure Key Vault（Azure 原生、HSM 支持）、Google Secret Manager（GCP 原生、IAM 集成）。
使用方式：Vault 可启用 KV v2 并写入密钥，如 vault secrets enable -path=secret kv-v2 与 vault kv put secret/database/config username=admin password=secret；GitHub Actions 用 hashicorp/vault-action@v2 导入密钥；GitLab CI 通过 vault kv get 取值。AWS Secrets Manager 用 aws secretsmanager create-secret 存储、get-secret-value 在 CI/CD 中检索，并配合 Terraform 的 aws_secretsmanager_secret_version 数据源。Kubernetes 可用 External Secrets Operator 的 SecretStore 与 ExternalSecret 从 Vault 同步。还提供密钥轮换脚本思路与 pre-commit 钩子中调用 TruffleHog 扫描。
适用场景：需要集中管理、自动轮换、最小权限与审计日志的团队。
限制与最佳实践：切勿将密钥提交到 Git；按环境使用不同密钥；定期轮换；实施最小权限；启用审计日志；使用 GitGuardian、TruffleHog 等扫描；在日志中屏蔽密钥；尽量使用短期令牌。具体平台支持与配置细节以各工具官方文档为准。