配置与密钥

部署配置可以组合环境变量（普通或加密）、公共配置、配置文件和密钥文件。

环境变量

在部署编辑页“运行配置 → 环境与配置”的环境变量表中维护，每行包含名称、值和“加密”开关：

普通变量：发布时写入部署专属 ConfigMap 并作为环境变量注入容器。有权客户端可以读取这些值，因此不要放密码、Token 或私钥。
加密变量：打开“加密”开关后，值写入加密存储，保存后只显示 ••••••，不会回显。已保存的加密变量可以在操作菜单中替换、重新生成随机值或清除。
名称唯一：普通变量与加密变量共用一个命名空间，同一部署配置内名称不能重复。
一起保存：表中所有改动（包括替换、重新生成和清除加密变量）都只在点击保存时生效。保存前，底部操作栏会汇总将要执行的加密操作；保存失败时不会写入任何改动。
普通改为加密：直接打开开关，当前值会作为加密值保存。
加密改为普通：平台无法读取原值，必须重新填写普通值；保存后原密钥会被删除。
批量导入：点击“粘贴 .env”，每行 KEY=VALUE，支持 export 前缀、整行 # 注释和引号。导入的变量都是普通变量，可以选择是否覆盖同名普通变量，加密变量不会被覆盖。

平台升级到此版本时，如果同一部署配置或公共配置中存在同名的普通变量和加密变量，会保留加密变量并移除普通变量。这与升级前发布时实际生效的值一致，正在运行的实例不受影响；审计日志会记录被移除的变量名称（不含值）。

构建变量可在全局、项目空间、应用和部署配置层级设置；越靠近部署配置的同名值优先。Build Args 和普通变量会进入构建记录，不适合保存敏感数据。

项目空间的公共配置同样不允许普通变量与密钥同名。公共配置中的密钥仍在公共配置对话框中单独管理，修改立即生效。发布时先合并公共配置，再用部署配置的同名变量覆盖；任一层的密钥都优先于其他层的同名普通变量。

需要在容器中挂载文件时使用配置文件或密钥文件，不要把多行内容塞进启动命令。

修改运行配置后，按页面提示保存并重新部署。仅保存期望配置不会自动改变已经运行的 Pod。