როგორ მუშაობს გარემოს ცვლადები Next.js-ში?

Question

Accepted Answer

Next.js ტვირთავს გარემოს ცვლადებს `.env` ფайლებიდან, მნიშვნელოვანი უსაფრთხოების წესით: ცვლადები **მხოლოდ სერვერი არის ნაგულისხმევი**, და მხოლოდ `NEXT_PUBLIC_` პრეფიქსით დაწყებული ცვლადები გამოჩნდება ბრაუზერში.

## ფაილები

```text
.env                # loaded in all environments
.env.local          # local overrides — GITIGNORED (put secrets here)
.env.development    # only in `next dev`
.env.production     # only in production builds
```

## კრიტიკული პრეფიქსის წესი

```bash
# .env.local
DATABASE_URL=postgres://...secret...   # server-only — NEVER sent to the browser
NEXT_PUBLIC_API_URL=https://api.example.com  # exposed to the browser
```

```tsx
// Server Component / Route Handler / Server Action — can read anything
const db = process.env.DATABASE_URL;          // ✅ works on the server

// Client Component — only NEXT_PUBLIC_* are available
"use client";
const api = process.env.NEXT_PUBLIC_API_URL;  // ✅ works
const secret = process.env.DATABASE_URL;      // ❌ undefined in the browser
```

ეს პრეფიქსის წესი **უსაფრთხოების ფუნქციაა**: ის თავს აცილებთ მონაცემთა ბაზის პაროლებისა ან API საიდუმლოების შემთხვევით კლიენტში გაზიაროს. პრეფიქსის გარეშე ცვლადი უბრალოდ არ არსებობს ბრაუზერის კომპილაციაში.

## როგორ ჩასმული ხდება NEXT_PUBLIC_ მნიშვნელობები

```text
NEXT_PUBLIC_* are INLINED at BUILD time (baked into the JS bundle).
```

მას შემდეგ, რაც ისინი ჩასმული ხდებიან შედგენის დროს, `NEXT_PUBLIC_` მნიშვნელობის შეცვლას **ხელახლა შედგენა** სჭირდება — და არ უნდა დაიმალოს ნამდვილი საიდუმლოებები პრეფიქსის უკან (ისინი ხილული იქნებიან კომპილაციაში ნებისმიერი მომხმარებლისთვის).

## საუკეთესო პრაქტიკა

```text
✓ Secrets (DB URLs, API keys) → no prefix, kept server-side, in .env.local (gitignored)
✓ Public config (public API base, analytics id) → NEXT_PUBLIC_
✓ Commit a .env.example documenting required vars (no real values)
```

## რატომ აქვს მნიშვნელობა

მხოლოდ სერვერის მოდელი, სადეფოლტო `NEXT_PUBLIC_` ოპტ-ინით, არის Next.js-ის დაცვა საიდუმლოებების კლიენტში გაჟონვის წინააღმდეგ — ჩვეულებრივი, სერიოზული შეცდომა.

მნიშვნელოვანია ვიცოდეთ რომელი ცვლადი ეხება ბრაუზერს, რომ საჯაროები შედგენის დროს ჩასმული იყო, და სად ინახება საიდუმლოებები (git-დან განურჩევლად `.env.local`) — ეს აუცილებელია ფუნქციონალურობასა და უსაფრთხოებისთვის.