真实事故：让它改一个功能，它顺手把 .env 里的数据库地址改成了测试库，理由是「方便调试」。

加了两道防线：

  1. hook 层面禁止写 .env、config/production.*、docker-compose.prod.yml 这类文件，命中直接 deny。
  2. 敏感配置全部改成从密钥管理读，仓库里只有占位符，改了也没用。

第 2 条是治本。只要配置不在仓库里，它想改也没得改。

顺带的收获：新同事也不用再要一份 .env 了，本地跑起来直接读密钥服务。

经验：不要指望模型理解「这个文件不能碰」。要靠机制，不靠自觉。

主楼