Next.js এ পরিবেশ ভেরিয়েবলগুলি কীভাবে কাজ করে?

Question

Accepted Answer

Next.js `.env` ফাইল থেকে পরিবেশ ভেরিয়েবল লোড করে, একটি গুরুত্বপূর্ণ নিরাপত্তা নিয়ম সহ: ভেরিয়েবলগুলি **ডিফল্টরূপে শুধুমাত্র সার্ভার-সংক্রান্ত**, এবং শুধুমাত্র `NEXT_PUBLIC_` উপসর্গ সহ যেগুলি রয়েছে সেগুলি ব্রাউজারে প্রকাশ করা হয়।

## ফাইলগুলি

```text
.env                # loaded in all environments
.env.local          # local overrides — GITIGNORED (put secrets here)
.env.development    # only in `next dev`
.env.production     # only in production builds
```

## সমালোচনামূলক উপসর্গ নিয়ম

```bash
# .env.local
DATABASE_URL=postgres://...secret...   # server-only — NEVER sent to the browser
NEXT_PUBLIC_API_URL=https://api.example.com  # exposed to the browser
```

```tsx
// Server Component / Route Handler / Server Action — can read anything
const db = process.env.DATABASE_URL;          // ✅ works on the server

// Client Component — only NEXT_PUBLIC_* are available
"use client";
const api = process.env.NEXT_PUBLIC_API_URL;  // ✅ works
const secret = process.env.DATABASE_URL;      // ❌ undefined in the browser
```

এই উপসর্গ নিয়মটি একটি **নিরাপত্তা বৈশিষ্ট্য**: এটি আপনাকে ডাটাবেস পাসওয়ার্ড বা API গোপনীয়তা ক্লায়েন্টে দুর্ঘটনাজনিতভাবে পাঠানো থেকে রোধ করে। একটি অ-উপসর্গ ভেরিয়েবল সহজেই ব্রাউজার বান্ডেলে বিদ্যমান থাকে না।

## NEXT_PUBLIC মানগুলি কীভাবে এম্বেড করা হয়

```text
NEXT_PUBLIC_* are INLINED at BUILD time (baked into the JS bundle).
```

যেহেতু সেগুলি বিল্ড সময়ে ইনলাইন করা হয়, একটি `NEXT_PUBLIC_` মান পরিবর্তন করার জন্য একটি **পুনর্নির্মাণ** প্রয়োজন — এবং আপনি সত্যিকারের গোপনীয়তা উপসর্গের পিছনে রাখা উচিত নন (এটি বান্ডেলে যে কাউকে দৃশ্যমান হবে)।

## সেরা অনুশীলন

```text
✓ Secrets (DB URLs, API keys) → no prefix, kept server-side, in .env.local (gitignored)
✓ Public config (public API base, analytics id) → NEXT_PUBLIC_
✓ Commit a .env.example documenting required vars (no real values)
```

## এটি কেন গুরুত্বপূর্ণ

`NEXT_PUBLIC_` অপ্ট-ইন সহ সার্ভার-শুধুমাত্র-ডিফল্ট মডেল হল ক্লায়েন্টে গোপনীয়তা ফাঁস করার বিরুদ্ধে Next.js এর রেলিং — একটি সাধারণ, গুরুতর ভুল।

কোন ভেরিয়েবলগুলি ব্রাউজারে পৌঁছায় তা বোঝা, যে সর্বজনীন অনগুলি বিল্ড-সময় ইনলাইন করা হয়, এবং গোপনীয়তা কোথায় সংরক্ষণ করতে হয় (gitignored `.env.local`) তা কার্যকারিতা এবং নিরাপত্তা উভয়ের জন্যই অপরিহার্য।