用途：面向应用密钥与配置管理，覆盖密钥存储、分发、轮换、访问控制与审计。适用场景包括应用密钥管理（数据库密码、API Key、Token）、多环境配置中心、密钥轮换、CI/CD secrets 注入、Kubernetes Secrets 管理、证书生命周期管理和合规审计。
核心原则：零硬编码（代码不出现密钥、.env 不入 Git、配置与代码分离）；最小权限（每服务仅访问自身 secrets、按环境隔离、短期凭证优先）；加密存储（静态与传输加密、KEK 分离）；自动轮换（90 天内、不中断服务、旧密钥过渡期）；审计追踪；12-Factor 环境变量注入；灾备可恢复。
工作流程：先做密钥分类（基础设施密钥、应用密钥、证书、加密密钥），再选择存储方案（HashiCorp Vault、AWS Secrets Manager、GCP Secret Manager、Azure Key Vault、K8s External Secrets Operator），设计访问策略（按服务/环境划分路径、RBAC/Policy、短期 Token），选择注入方式（环境变量、文件挂载、SDK 读取、Init Container），制定轮换策略（自动轮换、双密钥过渡、热加载），集成 CI/CD（GitHub Secrets、Vault 动态凭证、OIDC 联合认证），并进行监控审计。
配置优先级由高到低：环境变量、密钥管理服务、ConfigMap/配置文件、应用默认值。密钥必须从密钥管理服务获取，本地开发用 .env 并加入 .gitignore。
方案对比：Vault 适合多云/自建但运维复杂；AWS Secrets Manager 托管自动轮换但锁定 AWS；K8s Secrets 原生集成但默认 base64 非加密；External Secrets 可同步外部源到 K8s；SOPS 对 Git 友好；dotenv 仅适合本地开发。
常见坑：硬编码密钥、.env 提交、K8s Secret 当安全、不轮换、共享密钥、CI 用长期 Token、不审计、轮换中断服务、密钥无备份、环境变量日志泄露、不区分环境、离职不回收权限。
配套模板 templates/secrets-checklist.md 提供检查清单与轮换计划模板。上游协作 infrastructure-as-code、ci-cd-pipeline，下游协作 containerization、kubernetes-orchestration、networking-gateway、monitoring-alerting。具体实现代码、收费与版本信息暂未提供。