# 凭据与外部调用约束 > 权威合同：`docs/系统架构/新版设计/文件设计/后端-基础设施.md`（凭据读取）；属不可逾越边界。 1. **值不入库不入文**：凭据值不写入源码、文档、测试、日志、错误消息与批次证据；只记获取位置（环境变量名或受控存储路径）。 2. **受控读取**：运行时凭据经 `src/muse/基础设施/凭据读取.py` 按引用解析；缺引用即失败，不猜测。 3. **生产不读测试配置**：生产装配不加载 `配置/测试.example.toml` 派生文件；评测与维护用途使用隔离凭据。 4. **调用留痕**：真实模型调用绑定任务与尝试，保存输入输出证据（脱敏后）；凭据在持久化与日志前脱敏。 5. **离线默认禁外呼**：测试与确定性脚本默认禁止网络、数据库与模型调用；需要时显式标记并使用隔离环境。