Смысл хранить «секреты» приложений через переменные окружения?
В конфигах хранятся не только секреты, но и настройки
Регулярно такие конфиги с секретами пушатся в открытые репы и регулярно все данные сливаются от таких беспечных граждан
YOURAPPLICATION_SETTINGS
Читаем здесь и понимаем, что файл замены переменных окружения может находиться по произвольному пути.
Т.е. это сделанно именно для тех целей, чтобы случайно не выгрузить секреты на гит или не дать злоумышленнику получить к нему доступ из приложения (т.к. он находится ВНЕ приложения и доступ должен быть настроен верно!).
Также, сразу после установки переменных окружения, можно принудительно (дополнительно) сменить доступ/демонтировать источник с файлом замены переменных окружения.
Также, посмотрите на той же странице лучшие практики конфигурирования: здесь