待验证50% 置信事实精确时间
truecopy的误报主要被环境工具里的.env文件绊倒。
1
来源数
50%
置信度
短期 (~14 天)
时效性
2026/10/17
首次发现
有效期至：2026/10/31
来源
涉及实体
相关事实
待验证使用.env文件而非硬编码密钥是工程实践中的基本安全规范，代码中通过dotenv加载.env文件读取环境变量66% 相似待验证将密钥写入.env文件让Agent直接读取环境变量存在凭证泄露风险，因为Agent在整个会话中持有明文凭证，可能被提示词注入或误写入日志61% 相似待验证使用.env文件管理API密钥而非硬编码是工程安全实践规范，避免密钥随代码提交到Git仓库造成泄露56% 相似待验证r/mcp社区的一个帖子描述了这种失败模式：Claude险些通过文件系统MCP读取了生产环境的.env，发帖者最终用Rust写了一套防护，作者为此构建了filesystem-mcp-env-guard项目。56% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1055799API
curl https://kongchang.com/api/v1/knowledge/claims/1055799MCP
get_claim(id=1055799)