判斷一個值該不該保護的兩個問題、用副本數 × 權限範圍 × 壽命想洩漏風險、從 .env 到平台 env var 到 Secret Manager 的選擇，以及外洩後怎麼止血。附 Workload Identity 與 KMS 這些不需要持有 credential 的場景。