كيف تدير التكوين والأسرار في Node؟

Question

Accepted Answer

يجب أن يوجد التكوين (عناوين URL لقواعد البيانات، مفاتيح API، المنافذ، الميزات المرحلية) **خارج الكود** في متغيرات البيئة — لا تبقيها مشفرة مباشرة في الكود. هذا يبقي الأسرار بعيدة عن التحكم بإصدار المصدر ويسمح للكود نفسه بالعمل في بيئات التطوير والتجريب والإنتاج مع إعدادات مختلفة.

## المبدأ: التكوين من البيئة

```js
// ❌ NEVER hardcode secrets — they end up in git history forever
const dbUrl = "postgres://admin:password123@db.example.com";

// ✅ read from the environment
const dbUrl = process.env.DATABASE_URL;
const port = process.env.PORT || 3000;
```

هذا يتبع مبدأ **twelve-factor app**: فصل صارم بين التكوين والكود، لذا نشر البيئة الجديدة يعني تغيير متغيرات env، وليس الكود.

## التطوير المحلي: ملفات .env

```bash
# .env — local values, GITIGNORED (never committed)
DATABASE_URL=postgres://localhost/myapp_dev
JWT_SECRET=dev-secret
PORT=3000
```

```js
// load .env into process.env (older: dotenv; newer Node: --env-file flag)
import "dotenv/config";        // or: node --env-file=.env app.js
const secret = process.env.JWT_SECRET;
```

ملف `.env` يحتفظ بالتكوين المحلي؛ يجب أن يكون **معفى من git**. قم بحفظ `.env.example` (بالمفاتيح لكن بلا قيم حقيقية) لتوثيق ما هو مطلوب.

## التحقق من التكوين عند البدء

```js
import { z } from "zod";

const env = z.object({
  DATABASE_URL: z.string().url(),
  JWT_SECRET: z.string().min(16),
  PORT: z.coerce.number().default(3000),
}).parse(process.env); // ❗ fail FAST at startup if config is missing/invalid
```

التحقق من متغيرات env عند البدء (باستخدام zod/envalid) يعني أن المتغير المفقود أو المشوه سيتسبب في تعطل فوري مع رسالة واضحة — أفضل بكثير من فشل وقت التشغيل الغريب عميق في طلب.

## الأسرار في الإنتاج

```text
Dev:        .env file (gitignored)
Production: injected by the platform/orchestrator —
            cloud secret managers (AWS Secrets Manager, GCP Secret Manager, Vault),
            container/orchestrator env vars, CI/CD secrets.
Never put production secrets in .env files committed or shipped with the app.
```

## مركزية الوصول

```js
// config.js — one validated config module the app imports (don't sprinkle process.env everywhere)
export const config = { dbUrl: env.DATABASE_URL, port: env.PORT };
```

## لماذا يهم

إدارة التكوين والأسرار الصحيحة ضرورية من حيث **الأمان** و**التشغيل**.

تشفير الأسرار مباشرة في الكود يسربها إلى التحكم بإصدار المصدر (خرق خطير وشائع)؛ خلط التكوين في الكود يجعل النشر عبر البيئات مؤلماً.

النهج القياسي — متغيرات env، `.env` معفى من git للتطوير المحلي، `.env.example` للتوثيق، التحقق عند البدء، ومديري الأسرار الخاصين بالمنصة في الإنتاج — يبقي الأسرار آمنة، يجعل التطبيق محمول عبر البيئات، ويظهر سوء التكوين مبكراً.

إنه أساسي لتشغيل تطبيقات Node بشكل مسؤول.