Источники (ConfigSource)
Абстракция ConfigSource — откуда берётся конфигурация. YAML-файлы, env, будущие адаптеры для etcd / Consul / Vault / HTTP / SQL / K8s.
Слои конфигурации
Три слоя YamlFileSource — база + local + окружение. Порядок слияния, DAGSTACK_ENV, правила слияния объектов и массивов.
Подстановка переменных окружения
Синтаксис ${VAR} / ${VAR:-default}, семантика интерполяции, обработка отсутствующих переменных, экранирование $$.
Секреты
Маскирование по имени поля (api_key, *_token, *_password, *_secret). Как передавать секреты через env. Что не попадает в git.
Secret sources
Operator guide for SecretSource adapters — install commands per binding, Vault auth methods (Token / AppRole / Kubernetes ServiceAccount), namespace, token renewal boundary, what is deferred to Phase 3.
Горячая перезагрузка (watch)
Подписка на свою секцию через onSectionChange, атомарный откат при невалидной конфигурации и неактивная подписка subscription_without_watch.