密钥管理：加密存储与轮换

后台配置里的密钥，既要能改，又不能泄露。

加密存储

用 AES-256-GCM 之类的认证加密，密钥由环境变量提供。开启后必须保持稳定，轮换或移除会导致历史密文无法解密。

脱敏返回

读取接口只返回掩码后的值。前端提交时不带该字段表示不变，而不是提交空值覆盖。

端点变更

如果密钥会被发送到某个 URL，这个 URL 必须列入受保护清单。修改 URL 时要求重新输入密钥，防止把密钥发到攻击者地址。

日志

任何日志、错误上报和调试接口都不能输出明文密钥。这一条要在代码评审里硬性检查。