用途：该项目围绕“密钥与环境变量放在哪里”这一高风险决策，给出有主张的默认做法与全生命周期操作手册，并用 .gitignore 保护敏感文件。
主要能力：用四桶决策树为任意值定位（运行期不变的常量放源码；按环境变化且敏感的放本地 .env 与 CI/平台密钥库；非敏感但随环境变化的放环境变量；运行期用户可配置的放运行时配置）。提供 .env / .env.example 规则、启动校验、漂移检查、前端框架构建期与运行期变量区分、多 .env 文件优先级说明，以及新增、更新、轮换、移除、迁移、跨环境审计的步骤化流程。
使用方式：行动前先写 Assumptions 块（环境层级、.env.example 是否存在、是否发现被追踪密钥、生命周期动作）；发现被追踪密钥即视为事故并转交 audit-security 处理，不继续常规流程。优先使用各平台 CLI 设置密钥，避免在命令、提交信息、截图或历史中粘贴真实值。
适用场景：需明确某值归属于哪一桶、需对齐 .env 与 .env.example、需轮换或移除密钥、需审计多环境漂移、需为前端项目区分公共变量与服务器专用变量时。
限制：资料提到具体平台 CLI 速查、启动校验模式、密钥轮换配方、生命周期细节等位于 references 与 templates 中，但未给出这些文件的完整内容；具体平台支持范围、价格与效果暂未提供。