Vault 中保存的密钥，应该怎样交给应用使用？

可以把密钥保存在 Busabase 的 Vault → Secrets 中，避免直接写进应用文件。不过，保存之后还需要配置使用权限，并让应用在合适的运行环境里读取。

如果应用有后端，推荐这样接：

1. 在 账户设置 → Vault 中保存密钥，例如命名为 EMAIL_API_KEY，开启 Runtime（允许运行时使用）。
2. 由后端安全保存 Busabase API key，并指定目标空间，调用 GET https://busabase.com/api/v1/vault/runtime，取得对应名称的值，再调用外部服务。
3. 不要把 Busabase API key、返回的密钥或外部服务凭据放进前端代码、公开文件或日志。如果是 AirApp／纯前端应用，应通过后端代为调用，而不是让浏览器直接拿到密钥。

权限上，需要区分：

• 个人 Vault 属于对应账号；空间 Vault 属于团队共享范围，不应当作仅管理员可访问的私人保险箱。
• Runtime 允许应用在运行时取得并使用实际值；Reveal 控制显式查看明文。关闭 Reveal，并不代表开启 Runtime 的应用拿不到密钥。
• 同名配置的优先级是：API key 覆盖值 > 空间覆盖值 > 个人默认值。API key 覆盖值不是完全独立的密钥集合，运行时仍会合并其他作用域的配置。