变量掩码（Masked Variables）

把敏感变量在日志中替换为掩码：它是兜底而不是保密手段，注意掩码条件的限制与变形输出绕过。

GitLab	掩码变量需满足长度与字符集要求（单行、8 位以上等），否则保存即报错
GitHub	secrets 在工作流日志中自动掩码；对拼接、编码后的变形值不保证覆盖
原则	不打印敏感值；掩码只处理「意外输出」

不要这样做

set -x          # 会回显展开后的命令
env | sort      # 可能打印全部变量
echo "$SECRET"  # 直接输出

通过 base64、分段拼接等方式改形的值通常绕过掩码：从源头避免输出。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌