Kuinka hallitset konfiguraatiota ja salaisuuksia Node:ssa?

Question

Accepted Answer

Konfiguraation (tietokantapalveluiden URL:t, API-avaimet, portit, ominaisuusliput) tulisi elää **koodin ulkopuolella** ympäristömuuttujissa — ei koskaan hardkoodattuna. Tämä pitää salaisuudet poissa versionhallinnasta ja antaa saman koodin toimia dev-, staging- ja tuotantoympäristöissä eri asetuksilla.

## Periaate: konfiguraatio ympäristöstä

```js
// ❌ NEVER hardcode secrets — they end up in git history forever
const dbUrl = "postgres://admin:password123@db.example.com";

// ✅ read from the environment
const dbUrl = process.env.DATABASE_URL;
const port = process.env.PORT || 3000;
```

Tämä noudattaa **twelve-factor app** -periaatetta: tiukka erottelu konfiguraation ja koodin välillä, joten uuteen ympäristöön käyttöönotto tarkoittaa env-muuttujien muuttamista, ei koodia.

## Paikallinen kehitys: .env-tiedostot

```bash
# .env — local values, GITIGNORED (never committed)
DATABASE_URL=postgres://localhost/myapp_dev
JWT_SECRET=dev-secret
PORT=3000
```

```js
// load .env into process.env (older: dotenv; newer Node: --env-file flag)
import "dotenv/config";        // or: node --env-file=.env app.js
const secret = process.env.JWT_SECRET;
```

`.env`-tiedosto sisältää paikallisen konfiguraation; se **on jätettävä gitin huomiotta**. Commit `.env.example`-tiedosto (avaimilla mutta ilman todellisia arvoja) dokumentoimaan, mitä vaaditaan.

## Vahvista konfiguraatio käynnistyksen yhteydessä

```js
import { z } from "zod";

const env = z.object({
  DATABASE_URL: z.string().url(),
  JWT_SECRET: z.string().min(16),
  PORT: z.coerce.number().default(3000),
}).parse(process.env); // ❗ fail FAST at startup if config is missing/invalid
```

Env-muuttujien validointi käynnistyksen yhteydessä (zod/envalid:lla) tarkoittaa, että puuttuva tai väärin muotoiltu salaisuus kaatuu välittömästi selkeällä viestillä — paljon parempi kuin hämmentävä ajonaikainen virhe pyynnön syvällä sisällä.

## Salaisuudet tuotannossa

```text
Dev:        .env file (gitignored)
Production: injected by the platform/orchestrator —
            cloud secret managers (AWS Secrets Manager, GCP Secret Manager, Vault),
            container/orchestrator env vars, CI/CD secrets.
Never put production secrets in .env files committed or shipped with the app.
```

## Keskitä pääsy

```js
// config.js — one validated config module the app imports (don't sprinkle process.env everywhere)
export const config = { dbUrl: env.DATABASE_URL, port: env.PORT };
```

## Miksi sillä on merkitystä

Oikea konfiguraation ja salaisuuksien hallinta on sekä **turvallisuus-** että **operatiivinen** välttämättömyys.

Salaisuuksien hardkoodaus vuotaa ne versionhallintaan (vakava, yleinen loukkaaus); konfiguraation sekoittaminen koodiin tekee käyttöönottamisesta ympäristöissä kivuliasta.

Standardilähestymistapa — env-muuttujat, gitin huomiotta jätettävä `.env` paikalliseen kehitykseen, `.env.example` dokumentaatiota varten, validointi käynnistyksen yhteydessä ja alustan salaisuuksien hallitsijat tuotannossa — pitää salaisuudet turvassa, tekee sovelluksesta siirrettävän ympäristöissä ja paljastaa väärät konfiguraatiot varhain.

Se on perustava vaatimus Node-sovellusten vastuulliselle käytölle.