关于密钥/凭证管理，符合最佳实践的是？

1. A.把 API key 写在源码常量里并提交到 Git，方便同事使用
2. B.通过环境变量或密钥管理服务注入，不进版本库，支持轮换与泄露后吊销
3. C.把密钥放在前端 JS 里，通过混淆保护
4. D.所有环境共用同一把密钥以减少管理成本