删了 .env 文件，密钥照样在裸奔！删了文件也没用！AI 帮你写的代码正把 API 密钥裸奔在 GitHub 上

大白话这篇 Dev.to 帖子说的是一个很常见的翻车现场：你用 Lovable、Bolt、v0、Replit 或 Cursor 这类 AI 工具生成项目，它顺手把 .env 文件也一起提交了，里面全是 sk_live_… 这种真金白银的密钥和带密码的数据库地址。更坑的是，就算你后来把文件删了，密钥还躺在 git 历史里，谁翻到仓库都能看见。作者给的解法是：先去各家后台把密钥全部作废重发，再用 git rm --cached .env 把文件从仓库里摘出来，把 .env* 加进 .gitignore，新密钥只配在部署平台上。

对你意味着只要你在用 AI 工具生成项目并推到公开仓库，就可能中招；密钥泄露轻则被人刷爆额度，重则数据库被拖走。