主题
Next.js 高级架构
Next.js 环境变量、Secret 和运行时配置如何治理？
环境变量既是配置入口也是常见泄露源，高级方案要讲清它何时被内联、谁能读取、怎样轮换和验证。
面试官想考什么
NEXT_PUBLIC_为什么危险？ 考察客户端暴露。- 构建时读取和运行时读取有什么区别？ 考察部署模型。
- 容器镜像如何在多环境复用？ 考察不可变构建。
- Secret 轮换后如何无损生效？ 考察运行时治理。
一句话回答
text
只有明确允许公开的配置才能进入 NEXT_PUBLIC 或客户端代码，Secret 必须在服务端运行时读取；构建产物尽量不可变，通过部署平台注入配置并做 schema 校验、轮换、审计和产物扫描。面试回答详解
1. 配置分类
- 公开配置：API public origin、功能开关的非敏感部分。
- 服务端 secret：数据库、模型 provider、签名密钥。
- 运行时业务配置：租户策略、区域、限额，应来自受控服务。
- 构建配置：影响 bundle 和静态产物，变更通常需要 rebuild。
2. 暴露边界
带 NEXT_PUBLIC_ 的变量会被客户端使用，不能放 token、私钥、内部 URL 或权限信息。服务端模块不要被 Client Component 间接导入，否则可能扩大 bundle 或构建失败。
3. 环境一致性
镜像只构建一次，dev/staging/prod 在运行时注入不同配置，避免“生产配置编译进镜像”。启动时用 schema 校验必需字段、URL、枚举和互斥配置，失败要快速退出。
4. 轮换与缓存
密钥轮换支持双 key overlap，服务端重新读取或滚动重启；签名 cookie、CDN、Data Cache 和任务 worker 的旧配置要有过渡期。配置变化后按影响范围失效缓存。
5. 观测与审计
记录配置版本和校验结果，不记录 secret 值。构建产物、source map、日志和错误上报都要做敏感字段扫描。
可直接背诵的 30 秒回答
text
我先把配置分成公开、服务端 secret、运行时业务配置和构建配置。NEXT_PUBLIC 只能放真正公开的数据，模型密钥、数据库和签名密钥只能在服务端运行时读取。镜像尽量一次构建多环境注入，启动时 schema 校验，密钥支持双 key 轮换，最后扫描 bundle、source map 和日志防泄露。扩展知识
Build once, configure at runtime
text
同一构建产物 + 环境运行时配置 = 可重复发布和快速回滚前提是配置不会改变需要编译的代码分支，否则仍需重新构建。
面试官追问链
追问一：public API key 也算 secret 吗？
- 考察点：密钥分级。
- 回答方向：即使设计为公开，也要限制来源、权限、额度和滥用；不能把“可公开”理解成“无需治理”。
追问二：修改环境变量后页面为什么没变？
- 考察点：构建/运行时边界。
- 回答方向：可能已在 build time 内联，需要重新构建；或者服务端缓存和 CDN 仍持有旧输出。
追问三：如何防止 secret 进入客户端 bundle？
- 考察点：工程验证。
- 回答方向：模块边界、变量命名、构建 lint、产物 grep/扫描和依赖审计结合，不能只靠开发者记忆。