Hogyan kezelod a konfigurációt és a titkokat a Node-ban?

Question

Accepted Answer

A konfiguráció (adatbázis URL, API kulcsok, portok, funkció jelzők) az **kódodtól kívül** környezeti változókban kell, hogy tartalmazzák — soha nem hardcoded. Ez biztonsági titkok a verziókezelésből, és lehetővé teszi ugyanazt a kódot a dev, staging és production használata eltérő beállításokkal.

## Az elv: konfiguráció a környezetből

```js
// ❌ NEVER hardcode secrets — they end up in git history forever
const dbUrl = "postgres://admin:password123@db.example.com";

// ✅ read from the environment
const dbUrl = process.env.DATABASE_URL;
const port = process.env.PORT || 3000;
```

Ez követi a **twelve-factor app** elvet: a konfiguráció és a kód szigorú szétválasztása, így az új környezetbe történő telepítés azt jelenti, hogy módosítod az env var-t, nem a kódot.

## Helyi fejlesztés: `.env` fájlok

```bash
# .env — local values, GITIGNORED (never committed)
DATABASE_URL=postgres://localhost/myapp_dev
JWT_SECRET=dev-secret
PORT=3000
```

```js
// load .env into process.env (older: dotenv; newer Node: --env-file flag)
import "dotenv/config";        // or: node --env-file=.env app.js
const secret = process.env.JWT_SECRET;
```

Egy `.env` fájl tartalmaz helyi konfigurációt; **gitignored** kell lennie. Kötelezz be egy `.env.example` fájlt (kulcsokkal, de igazi értékek nélkül) ahhoz, hogy dokumentáljuk, mi szükséges.

## Konfiguráció érvényesítése indításkor

```js
import { z } from "zod";

const env = z.object({
  DATABASE_URL: z.string().url(),
  JWT_SECRET: z.string().min(16),
  PORT: z.coerce.number().default(3000),
}).parse(process.env); // ❗ fail FAST at startup if config is missing/invalid
```

Az env var érvényesítése az indításkor (zod/envalid-dal) azt jelenti, hogy egy hiányzó vagy helytelenül formázott titok azonnal összeomlik egy világos üzenettel — sokkal jobb, mint egy zavaros futásidejű hiba mélyen egy kérésben.

## Titkok az üzemben

```text
Dev:        .env file (gitignored)
Production: injected by the platform/orchestrator —
            cloud secret managers (AWS Secrets Manager, GCP Secret Manager, Vault),
            container/orchestrator env vars, CI/CD secrets.
Never put production secrets in .env files committed or shipped with the app.
```

## Központosítsd a hozzáférést

```js
// config.js — one validated config module the app imports (don't sprinkle process.env everywhere)
export const config = { dbUrl: env.DATABASE_URL, port: env.PORT };
```

## Miért számít

A megfelelő konfiguráció és titkos kezelés a **biztonság** és a **működési** szükségesség.

A titkok hardcoding szivárgás azokat a verziókezelésbe (súlyos, gyakori megsértés); a konfiguráció kódba keverése a környezetekben végigpályázódott bizontalanságot okoz.

A standard megközelítés — env var, helyi fejlesztéshez gitignored `.env`, dokumentációhoz `.env.example`, indításkor érvényesítés, és platform titkos felügyelő az üzemben — biztonsági titkokat tartja, a felhasználó hordozható az összes környezet között, és a helytelen konfigurációt korán felszínre hozza.

A Node-alkalmazások felelős kezeléséhez alapvető.

Az elv: konfiguráció a környezetből

Helyi fejlesztés: .env fájlok

Konfiguráció érvényesítése indításkor

Titkok az üzemben

Központosítsd a hozzáférést

Miért számít

Helyi fejlesztés: `.env` fájlok