直接回答：密钥管理的成熟度阶梯：硬编码进代码（事故）→ 配置文件（git 泄漏风险）→ 环境变量/部署平台密钥功能（及格线）→ 密钥管理系统（Vault、云 KMS/Secrets Manager，审计+轮转+动态凭证）。环境变量及格的点是密钥与代码分离；不足的点是：进程崩溃 dump、/proc、错误上报都可能带出明文，没有访问审计，轮换要改部署，共享给第三方工具链时无处管控。
展开解析：密钥管理系统的核心能力对应真实痛点：集中审计回答"谁在何时取了什么密钥"；动态凭证为每个应用/每次会话生成短命数据库账号，泄漏窗口缩到分钟级；自动轮转让"每季度换密钥"从运维动作变成平台默认；信封加密让落盘的密钥密文与数据密钥分离。工程纪律配套：密钥绝不进日志（日志管道做密钥模式脱敏）、CI 用 OIDC 换短期云凭证替代长期密钥、本地开发用个人凭证而非共享生产密钥、泄漏响应流程预演过（吊销-轮换-排查顺序）。还有一条常被忽视：密钥的价值分级，支付私钥和内部灰度开关不该用同一套管控强度。
追问方向：信封加密的层次结构？Vault 动态数据库凭证如何工作？CI 中 OIDC 取代长期密钥的流程？
（约 440 字）