使用客户端凭证模式时，凭证必须通过环境变量或密钥管理服务注入，绝不能写进代码仓库；且该模式下的权限范围通常更窄，应遵循最小权限原则。