Кстати, рекомендую не сильно увлекаться переменными окружения. Это может привести к неожиданным результатам, если код передается кому-то, и этот кто-то запускает его через сабшелл, например из cron'a и т.д. Потом замучаешься саппортить свои творения.
Я бы рекомендовал использовать вместо этого старый добрый configparser, а ini-файл, хорошо задокументированный, но с незаданными бизнес-критичными параметрами (логины, пароли, токены) поставлять вместе с кодом.
Тогда в деплой джобе файл можно легко редактировать хоть оркестраторами (puppet, ansible), хоть runner'ами, хоть деплой-серверами. А продуктом могут пользоваться все
>ini с не заданными секретами.
>В репе - ини с секретами, конкретно с токеном.
Что-то я запутался.
Причем в боточатах все рекомендуют хранить секреты именно в переменных окружения. Чаще всего, загружать из .env