Quản lý cấu hình và bí mật trong Node như thế nào?

Question

Accepted Answer

Cấu hình (URL cơ sở dữ liệu, API key, cổng, feature flag) nên nằm **bên ngoài code** trong biến môi trường — không bao giờ hardcode. Điều này giữ bí mật khỏi source control và cho phép cùng một code chạy ở dev, staging và production với cài đặt khác nhau.

## Nguyên tắc: cấu hình từ môi trường

```js
// ❌ ĐỪNG BAO GIỜ hardcode bí mật — chúng nằm trong lịch sử git mãi mãi
const dbUrl = "postgres://admin:password123@db.example.com";

// ✅ đọc từ môi trường
const dbUrl = process.env.DATABASE_URL;
const port = process.env.PORT || 3000;
```

Điều này tuân theo nguyên tắc **twelve-factor app**: tách cấu hình khỏi code nghiêm ngặt, nên triển khai sang môi trường mới nghĩa là đổi biến môi trường, không phải code.

## Phát triển cục bộ: file .env

```bash
# .env — giá trị cục bộ, được GITIGNORE (không bao giờ commit)
DATABASE_URL=postgres://localhost/myapp_dev
JWT_SECRET=dev-secret
PORT=3000
```

```js
// nạp .env vào process.env (cũ: dotenv; Node mới: cờ --env-file)
import "dotenv/config";        // hoặc: node --env-file=.env app.js
const secret = process.env.JWT_SECRET;
```

Một file `.env` chứa cấu hình cục bộ; nó **phải được gitignore**. Hãy commit một `.env.example` (có khóa nhưng không có giá trị thật) để tài liệu hóa những gì cần.

## Validate cấu hình lúc khởi động

```js
import { z } from "zod";

const env = z.object({
  DATABASE_URL: z.string().url(),
  JWT_SECRET: z.string().min(16),
  PORT: z.coerce.number().default(3000),
}).parse(process.env); // ❗ thất bại SỚM lúc khởi động nếu cấu hình thiếu/không hợp lệ
```

Validate biến môi trường lúc khởi động (với zod/envalid) nghĩa là một bí mật thiếu hoặc sai định dạng sẽ crash ngay với thông báo rõ ràng — tốt hơn nhiều một lỗi runtime khó hiểu sâu trong một request.

## Bí mật trong production

```text
Dev:        file .env (gitignore)
Production: được tiêm bởi nền tảng/orchestrator —
            secret manager đám mây (AWS Secrets Manager, GCP Secret Manager, Vault),
            biến môi trường container/orchestrator, secret của CI/CD.
Đừng bao giờ để bí mật production trong file .env được commit hoặc đóng gói cùng app.
```

## Tập trung hóa truy cập

```js
// config.js — một module cấu hình đã validate mà app import (đừng rải process.env khắp nơi)
export const config = { dbUrl: env.DATABASE_URL, port: env.PORT };
```

## Tại sao điều này quan trọng

Quản lý cấu hình và bí mật đúng cách vừa là nhu cầu **bảo mật** vừa **vận hành**.

Hardcode bí mật làm rò rỉ chúng vào version control (một vi phạm nghiêm trọng, phổ biến); trộn cấu hình vào code làm việc triển khai qua các môi trường khổ sở.

Cách tiếp cận chuẩn — biến môi trường, `.env` gitignore cho dev cục bộ, `.env.example` để tài liệu hóa, validate lúc khởi động, và secret manager của nền tảng trong production — giữ bí mật an toàn, làm app di chuyển được qua môi trường, và lộ sai cấu hình sớm.

Đó là nền tảng để vận hành ứng dụng Node một cách có trách nhiệm.