在Netlify部署时如何安全使用.env文件并解决API密钥无效问题

先排查当前Netlify报错的核心原因 #

你遇到的429和Invalid API key报错，本质是环境变量未被正确读取，导致请求用了无效密钥，进而触发请求超限。先做这几步验证：

• 确认Netlify后台配置的环境变量名和本地.env里的完全一致，比如本地是SHAZAM_API_KEY，Netlify里不能写错成SHAZAM_KEY之类的
• 改完环境变量后必须重新触发Netlify构建，不然旧的构建缓存会继续用错误的配置
• 检查代码中读取环境变量的逻辑：如果是React/Vue这类框架，环境变量需要加框架特定前缀（比如React的REACT_APP_、Vue的VUE_APP_），没加前缀前端根本读不到变量

GitHub流程中安全使用.env的方法 #

1. 用GitHub Secrets + Actions自动生成.env #

如果你的部署流程依赖GitHub Actions，可以把密钥存在GitHub Secrets里，构建时自动生成.env文件，全程不暴露密钥：

• 进入GitHub仓库的Settings → Secrets and variables → Actions，点击New repository secret，添加你的API密钥，比如命名为SHAZAM_API_KEY
• 在仓库根目录创建.github/workflows/deploy.yml，添加生成.env的步骤：

  name: Deploy to Netlify
  on: [push]
  jobs:
    build:
      runs-on: ubuntu-latest
      steps:
        - uses: actions/checkout@v4
        # 生成.env文件
        - name: Create .env file
          run: |
            echo "SHAZAM_API_KEY=${{ secrets.SHAZAM_API_KEY }}" > .env
        # 执行你的构建命令，比如npm run build
        - name: Build site
          run: npm install && npm run build
        # 部署到Netlify（需要提前配置Netlify的token到Secrets）
        - name: Deploy to Netlify
          uses: netlify/actions/cli@master
          with:
            args: deploy --prod --dir=dist
          env:
            NETLIFY_AUTH_TOKEN: ${{ secrets.NETLIFY_AUTH_TOKEN }}
            NETLIFY_SITE_ID: ${{ secrets.NETLIFY_SITE_ID }}
  

这样每次推送代码时，Actions会自动生成包含正确密钥的.env文件，完成构建部署。

2. Netlify直接同步GitHub Secrets（简化版） #

如果不用GitHub Actions，直接通过Netlify链接GitHub仓库部署：

• 在Netlify的站点设置里，找到Environment variables，点击Import from GitHub，选择对应的GitHub仓库，把之前存在GitHub Secrets里的SHAZAM_API_KEY导入到Netlify环境变量中
• 确保Netlify的构建命令正确，且构建时能读取到环境变量

3. 本地.env的安全管理 #

• 保持.gitignore里的.env规则不变，避免密钥上传到GitHub
• 可以创建一个.env.example文件，只写变量名不写值，比如：

  SHAZAM_API_KEY=
  

  把这个文件上传到GitHub，方便其他协作者知道需要配置哪些环境变量

内容的提问来源于stack exchange，提问作者Anuj Singh i_Omega17