Jak spravujete konfiguraci a tajemství v Node?

Question

Accepted Answer

Konfigurace (adresy URL databází, klíče API, porty, příznaky funkcí) by měla existovat **mimo váš kód** v proměnných prostředí — nikdy pevně zakódované. To udržuje tajemství mimo správu zdrojového kódu a umožňuje stejnému kódu běžet ve vývoji, přípravě a produkci s různými nastaveními.

## Princip: konfigurace z prostředí

```js
// ❌ NEVER hardcode secrets — they end up in git history forever
const dbUrl = "postgres://admin:password123@db.example.com";

// ✅ read from the environment
const dbUrl = process.env.DATABASE_URL;
const port = process.env.PORT || 3000;
```

To následuje princip **twelve-factor app**: přísné oddělení konfigurace od kódu, takže nasazení do nového prostředí znamená změnu proměnných env, ne kódu.

## Místní vývoj: soubory .env

```bash
# .env — local values, GITIGNORED (never committed)
DATABASE_URL=postgres://localhost/myapp_dev
JWT_SECRET=dev-secret
PORT=3000
```

```js
// load .env into process.env (older: dotenv; newer Node: --env-file flag)
import "dotenv/config";        // or: node --env-file=.env app.js
const secret = process.env.JWT_SECRET;
```

Soubor `.env` obsahuje místní konfiguraci; musí být **ignorován gitem**. Proveďte commit `.env.example` (s klíči, ale bez skutečných hodnot), abyste dokumentovali, co je vyžadováno.

## Ověřit konfiguraci při spuštění

```js
import { z } from "zod";

const env = z.object({
  DATABASE_URL: z.string().url(),
  JWT_SECRET: z.string().min(16),
  PORT: z.coerce.number().default(3000),
}).parse(process.env); // ❗ fail FAST at startup if config is missing/invalid
```

Ověření proměnných env při spuštění (s zod/envalid) znamená, že chybějící nebo nesprávně formátovaný tajemství způsobí okamžitý pád s jasnou zprávou — mnohem lepší než matoucí selhání za běhu hluboko v žádosti.

## Tajemství v produkci

```text
Dev:        .env file (gitignored)
Production: injected by the platform/orchestrator —
            cloud secret managers (AWS Secrets Manager, GCP Secret Manager, Vault),
            container/orchestrator env vars, CI/CD secrets.
Never put production secrets in .env files committed or shipped with the app.
```

## Centralizace přístupu

```js
// config.js — one validated config module the app imports (don't sprinkle process.env everywhere)
export const config = { dbUrl: env.DATABASE_URL, port: env.PORT };
```

## Proč je to důležité

Správná správa konfigurace a tajemství je **bezpečnostní** i **provozní** nezbytnost.

Pevně zakódovaná tajemství je unikají do správy zdrojového kódu (vážné, časté porušení); míchání konfigurace do kódu činí nasazení v různých prostředích болезненным.

Standardní přístup — proměnné env, ignorovaný `.env` pro místní vývoj, `.env.example` pro dokumentaci, ověření při spuštění a manažeři tajemství platforem v produkci — udržuje tajemství v bezpečí, činí aplikaci přenositelnou v různých prostředích a odhaluje chybnou konfiguraci včas.

Je to základem pro zodpovědný provoz aplikací Node.