用途：面向 Vercel 环境变量管理的专家指引，帮助处理 .env 文件、vercel env 命令行、OIDC 令牌和环境相关配置。
主要能力：
- .env 文件层级与加载顺序：Next.js 按 .env、.env.[environment]、.env.local（测试环境跳过）、.env.[environment].local（最高优先级，测试环境跳过）依次加载，后者覆盖前者。.env.local 默认被 git 忽略，vercel env pull 会把密钥写入该文件。
- vercel env CLI：常用命令包括 vercel env pull .env.local（可加 --environment=production|preview|development、--yes 覆盖）、vercel env add MY_SECRET（可指定多个环境、--sensitive 加密）、vercel env ls、vercel env rm。
- OIDC 令牌生命周期：在 Vercel 部署上自动注入并刷新 VERCEL_OIDC_TOKEN；本地通过 vercel env pull 获取约 12 小时有效期的令牌，过期后需重新拉取。@vercel/oidc 与 AI Gateway 会默认读取该令牌。
- 按环境配置：密钥建议在 Vercel 控制台或 vercel env add 设置，可限定 production、preview、development，preview 变量还能通过 --git-branch 限定分支。
必要用法：新克隆或新机器可先 vercel link --yes --project <名称或ID> --scope <团队>，再 vercel env pull .env.local --yes，并用脚本核对 .env.example 中的键是否齐全。不写文件临时运行可用 vercel env run -- npm run dev。
限制与注意：切勿把密钥提交到 .env、.env.development、.env.production，应使用 .local 变体或平台变量；NEXT_PUBLIC_ 前缀变量会暴露到浏览器，不可放密钥；vercel env pull 会整体覆盖 .env.local，需先备份自定义变量；独立脚本不会自动加载 .env.local，需借助 dotenv-cli 等手动加载。官方文档链接已在资料中列出。