Kaip tvarkote konfigūraciją ir paslaptis Node aplinkoje?

Question

Accepted Answer

Konfigūracija (duomenų bazės URL, API raktai, portai, funkcionalumo žymės) turėtų būti **už jūsų kodo** aplinkos kintamaisiuose — jokiu būdu nekodinto tiesiogiai. Tai saugo paslaptis iš versijos kontrolės ir leidžia tam pačiam kodui veikti plėtojimo, išdėstymo ir gamybos aplinkose su skirtingais nustatymais.

## Principas: konfigūracija iš aplinkos

```js
// ❌ NEVER hardcode secrets — they end up in git history forever
const dbUrl = "postgres://admin:password123@db.example.com";

// ✅ read from the environment
const dbUrl = process.env.DATABASE_URL;
const port = process.env.PORT || 3000;
```

Tai atitinka **dvylikos faktorių aplikacijos** principą: griežtą konfigūracijos ir kodo atskyrą, todėl diegimas naujoje aplinkoje reiškia aplinkos kintamųjų keitimą, ne kodą.

## Vietinis plėtojimas: .env failai

```bash
# .env — local values, GITIGNORED (never committed)
DATABASE_URL=postgres://localhost/myapp_dev
JWT_SECRET=dev-secret
PORT=3000
```

```js
// load .env into process.env (older: dotenv; newer Node: --env-file flag)
import "dotenv/config";        // or: node --env-file=.env app.js
const secret = process.env.JWT_SECRET;
```

`.env` failas saugo vietinę konfigūraciją; jis **turi būti gitignore'uotas**. Įdiekite `.env.example` (su raktais, bet be tikrų reikšmių) dokumentacijai, kuri aprašo, kas reikalinga.

## Validuokite konfigūraciją paleidžiant

```js
import { z } from "zod";

const env = z.object({
  DATABASE_URL: z.string().url(),
  JWT_SECRET: z.string().min(16),
  PORT: z.coerce.number().default(3000),
}).parse(process.env); // ❗ fail FAST at startup if config is missing/invalid
```

Aplinko kintamųjų validacija paleidime (naudojant zod/envalid) reiškia, kad paslapties trūkimas arba neteisinga forma iš karto nutraukia programą su aiškiu pranešimu — daug geriau nei paini vykdymo klaida giliai prašyme.

## Paslapties gamyboje

```text
Dev:        .env file (gitignored)
Production: injected by the platform/orchestrator —
            cloud secret managers (AWS Secrets Manager, GCP Secret Manager, Vault),
            container/orchestrator env vars, CI/CD secrets.
Never put production secrets in .env files committed or shipped with the app.
```

## Centralizuokite prieigą

```js
// config.js — one validated config module the app imports (don't sprinkle process.env everywhere)
export const config = { dbUrl: env.DATABASE_URL, port: env.PORT };
```

## Kodėl tai svarbu

Tinkama konfigūracija ir paslaptų valdymas yra ir **saugumo**, ir **operacinio** poreikio būtinybė.

Kodintų paslaptų nuotėkis jas išduoda versijos kontrolėje (rimtas, dažnas saugumo pažeidimas); konfigūracijos maišymas į kodą daro diegimą tarp aplinkų skausmingu.

Standartinis būdas — aplinkos kintamieji, .env gitignore'as vietiniam plėtojimui, .env.example dokumentacijai, validacija paleidime ir platformos paslaptų valdikliai gamyboje — saugo paslaptis, daro programą nešiojamą tarp aplinkų ir iš anksto atskleidžia neteisinga konfigūraciją.

Tai yra pagrindinė Node programų atsakingo paleisimo dalis.