数据库密码、第三方 API 密钥这类配置不应硬编码进代码，更不能提交进仓库。dotenv 在进程启动时读取项目根目录的 .env 文件，把其中每一组键值写入 process.env，之后代码里就能用 process.env.DB_PASSWORD 这样的方式安全访问。
用法是在入口文件最顶部加载 dotenv 并调用 config 方法，全局只需一次。.env 文件必须写进 .gitignore，同时提供 .env.example 供团队参考字段。从 Node 20.6 起，原生支持 --env-file 启动参数，不依赖任何第三方包也能达到同样效果。
// .env 文件（不要提交进仓库） DB_HOST=localhost DB_PORT=5432 API_KEY=your-secret-key // app.js 入口 require('dotenv').config(); console.log(process.env.DB_HOST); // localhost console.log(process.env.DB_PORT); // 5432