Node.js 如何存储cookie密钥等敏感信息以避免硬编码？

• 本地开发使用dotenv管理环境变量
  这是最通用的本地开发适配方案，操作步骤如下：
  1. 安装依赖：npm install dotenv
  2. 在项目根目录新建.env文件，写入你的敏感配置：COOKIE_SECRET=SECRETSECRETSECRET1!!!
  3. 必须将.env加入.gitignore规则，避免敏感配置被提交到公共代码仓库
  4. 在项目入口文件最顶部加载配置：CommonJS 项目用require('dotenv').config()，ESM 项目用import 'dotenv/config'
  5. 后续就可以从全局process.env对象读取对应值使用：app.use(cookieParser(process.env.COOKIE_SECRET))
• 生产环境直接使用部署平台的内置环境变量能力
  所有主流 Node.js 部署平台（Docker、K8s、云服务器、Serverless 平台等）都支持在后台直接配置环境变量，配置完成后可以直接通过process.env读取，不需要在服务器本地存储.env文件，也不会把密钥硬编码到代码中。
• 高安全等级场景使用专用密钥管理服务
  如果是企业级敏感业务，可以使用云厂商提供的密钥管理服务（KMS）或者内部自研的配置中心，密钥只在服务启动时动态拉取，全程不会落地到磁盘或者代码中，进一步降低泄露风险。
• 额外注意点
  • 不要在代码里给敏感配置写任何默认兜底值，如果启动时没有读到对应环境变量直接抛出错误终止启动，避免漏配环境变量时用到不安全的默认值
  • 不同环境（开发、测试、生产）要使用完全不同的密钥，不要混用
  • 代码仓库中可以留存.env.example模板文件，只标注需要配置的字段名，方便新成员初始化开发环境，不要填入真实密钥

内容的提问来源于stack exchange，提问作者Kaguei Nakueka