用途：扫描代码库中的环境变量引用，生成或更新 .env.example，校验 .env 完整性，并检测密钥泄露。
主要能力：按语言/框架的 grep 模式发现变量；按服务前缀（数据库、缓存、鉴权、OAuth、Stripe、AWS、邮件、应用配置、客户端变量）分组；区分必填/可选、密钥/配置、客户端暴露变量；对比 .env.example 找出缺失、过期和已同步的变量；以 SCREAMING_SNAKE_CASE 命名、分节注释和占位值生成 .env.example；校验 .env 中缺失必填项、空值和过期变量，并检查 .gitignore 是否忽略 .env；在 --check-secrets 时扫描 .env、git 历史和源码中的密钥。
使用方式：默认 scan（扫描并生成/更新 .env.example）；validate（校验 .env）；sync（同步 .env.example）；--check-secrets 启用密钥检测。密钥检测可选依赖 gitleaks：brew install gitleaks，未安装则退回 grep 检查。读取 .env 时仅按 key 名读取：grep -nE '^(export )?[A-Za-z_][A-Za-z0-9_]*=' .env | cut -d= -f1。
限制与注意：绝不写入真实密钥，.env.example 只用占位值；发现密钥时只报告变量名和 file:line，绝不回显、引用或输出实际值；客户端前缀 NEXT_PUBLIC_、VITE_、REACT_APP_ 会打包进前端，名称疑似密钥需告警；必须确认 .env 已在 .gitignore 中；历史提交即使现在已忽略也可能曾泄露；.env 中的未使用变量属安全隐患需清理。