Как передавать конфигурацию и секреты в serverless и edge, не утащив их в браузер?

Главное различие — когда значение подставляется: переменные времени сборки попадают в артефакт и, если речь о фронтенде, уезжают в браузер; переменные времени выполнения читаются на старте и остаются на сервере. Публичными могут быть только адреса и ключи, предназначенные для клиента (например, публичный ключ платёжной формы), всё остальное — серверное. Секреты хранят в облачном хранилище секретов и подтягивают по роли, а не кладут в переменные окружения функции открытым текстом: переменные видны в консоли, в описании ресурса и в шаблонах IaC. Разные среды — разные значения, ротация и журнал доступа обязательны.