| GitLab | 变量勾选 Protected：仅保护分支/标签触发的管道可见 |
|---|---|
| GitHub | environment secrets：作业引用 environment 且通过保护规则后可用 |
| 效果 | 特性分支与外部 PR 拿不到生产凭据 |
GitLab 使用前提
GitLab 使用前提
Settings → CI/CD → Variables：
- 勾选 Protected
- 对应环境的分支标记为 Protected branch受保护变量 + 受保护分支 + 环境审批组合，构成「谁能碰生产凭据」的三件套。