云端变量、Network secrets 与个人保险库
选择直接环境变量或代理替换凭据，并为共享环境提供各自的个人值。
This page has not been translated into English yet. The original Chinese version is shown below.
配置值放错类型会导致程序拿到占位符，或把原本只需发给服务的凭据直接交给进程。先确认程序究竟需要读取原值，还是只需在 HTTPS 请求中携带它。
两种传递方式
| 配置 | 适用场景 | 进程实际收到什么 |
|---|---|---|
| Environment variable | 程序要直接读取的设置或值 | 实际值 |
| Network secret | 发往特定 HTTPS 服务的凭据 | 占位符，由代理在允许目的地的请求中换成真实值 |
在环境配置里，分别通过 Environment variables 或 Network secrets 旁的 Manage 设置。Network secret 需要 Key、Value、Allowed domains，其 Key 不应与直接变量重复。
Network secret 的边界
替换仅适用于 HTTPS 的 443 端口，在 setup 和任务阶段都可使用。真实凭据不会因此写入本地进程或文件。若程序确实需要原值，应改用 Environment variable，并按该方式的暴露范围管理。
保存环境所有的 network secret 时，其目的地加入受限联网允许范围；直接变量和个人值不会自动增加目的地。因此“密钥已保存”不代表域名访问已允许。
Personal vault
共享环境可以要求每位用户提供自己的值，分享的是键的要求而不是用户凭据。被提示时通过 Add personal secrets 填写必需项并 Save and start，可选项可以留空。
预先设置：Settings > Codex Cloud > Personal vault > Add，选择类型，填 Key 与 Value，再在 Applies to 选择所有环境或特定环境。只有环境请求的值才进入任务，环境特定值优先于通用默认值。
个人 network secret 使用该环境的允许目的地和相同代理替换机制。
故障定位
先核对 Key 是否完全一致、Applies to 是否涵盖环境，再检查请求目标域名与 HTTPS 端口。私有包下载若跳转到第二个域名，也需独立核对该目标的联网和凭据要求。修正后在 setup 测试，保存并重新发布，再用新任务验证。