把 .env、密钥文件提交进仓库，等于把家门钥匙挂在门上。.gitignore 是第一道防线。

实践流程

.env
*.pem
*.key
secrets/
node_modules/
dist/

# 已误提交？先删跟踪再补 ignore
git rm --cached .env
echo ".env" >> .gitignore

要点速览

  • .env、*.pem、*.key 必须进 ignore，密钥绝不入库。
  • node_modules、dist 等构建产物也忽略，仓库才干净。
  • 已经提交了密钥，光加 ignore 不够，要从历史里彻底抹掉并换密钥。
gitignore 漏一条，密钥就可能随仓库流传到任何克隆者手里。