19.09-环境变量安全

# 项目根目录的 .env 文件
OPENAI_API_KEY=sk-xxxxxxxxxxxxxxxx
DATABASE_URL=postgres://user:pass@host:5432/db
JWT_SECRET=my-super-secret-key
AWS_SECRET_ACCESS_KEY=AKIAxxxxxxxxxxxxxxxx

# .gitignore 必须包含
.env
.env.local
.env.*.local
 
# 已经提交了的 .env 需要从 Git 历史中清除
# 方法一：BFG Repo-Cleaner
bfg --delete-files .env
# 方法二：git filter-branch
git filter-branch --force --index-filter \
  'git rm --cached --ignore-unmatch .env' \
  --prune-empty --tag-name-filter cat -- --all

// 危险：日志里打印了环境变量
console.log('Starting with config:', {
  apiKey: process.env.OPENAI_API_KEY,
  dbUrl: process.env.DATABASE_URL,
})
 
// 危险：debug 模式打印所有环境变量
if (DEBUG) {
  console.log('Env:', process.env)  // ← 所有环境变量
}

// 正确：日志里只打印非敏感配置
console.log('Starting with config:', {
  nodeEnv: process.env.NODE_ENV,
  logLevel: process.env.LOG_LEVEL,
  apiBaseUrl: process.env.API_BASE_URL,
  // 敏感值不打印
})

// 危险：错误响应里暴露了环境变量
try {
  await connectDB(process.env.DATABASE_URL)
} catch (e) {
  return c.json({
    error: `Database connection failed: ${process.env.DATABASE_URL}`,
    // ← 数据库连接字符串（包含用户名和密码）泄露
  }, 500)
}

$ ps -E -p 1234
# 显示进程 1234 的所有环境变量

# 危险：ARG 会被烘焙到镜像
ARG DATABASE_URL
RUN echo $DATABASE_URL > /app/config
 
# 危险：ENV 也会留在镜像里
ENV DATABASE_URL=postgres://...

# wrangler.toml
[vars]
API_BASE_URL = "https://api.example.com"
LOG_LEVEL = "info"
MAX_UPLOAD_SIZE = "10485760"
FEATURE_FLAG_NEW_UI = "true"

export default {
  async fetch(request: Request, env: Env) {
    console.log(env.API_BASE_URL)  // "https://api.example.com"
  }
}

# CLI 设置
wrangler secret put OPENAI_API_KEY
# 交互式输入
 
# 查看列表（只显示名字）
wrangler secret list

interface Env {
  // Secrets
  OPENAI_API_KEY: string
  JWT_SECRET: string
  DATABASE_PASSWORD: string
}

# wrangler.toml
[[d1_databases]]
binding = "DB"
database_name = "my-database"
database_id = "xxxxx"
 
[[kv_namespaces]]
binding = "CACHE"
namespace_id = "xxxxx"
 
[[r2_buckets]]
binding = "STORAGE"
bucket_name = "my-bucket"

interface Env {
  DB: D1Database
  CACHE: KVNamespace
  STORAGE: R2Bucket
}

import { z } from 'zod'
 
// 定义环境变量 schema
const envSchema = z.object({
  // 必填 Secrets
  OPENAI_API_KEY: z.string().min(1, 'OPENAI_API_KEY is required'),
  JWT_SECRET: z.string().min(32, 'JWT_SECRET must be at least 32 chars'),
  DATABASE_PASSWORD: z.string().min(1),
 
  // 可选配置（有默认值）
  LOG_LEVEL: z.enum(['debug', 'info', 'warn', 'error']).default('info'),
  MAX_UPLOAD_SIZE: z.coerce.number().default(10 * 1024 * 1024),
  API_BASE_URL: z.string().url().default('https://api.example.com'),
 
  // Bindings（z.any() 因为不是字符串）
  DB: z.any(),
  CACHE: z.any(),
  STORAGE: z.any(),
})
 
type Env = z.infer<typeof envSchema>
 
// 验证函数
function validateEnv(env: unknown): Env {
  const result = envSchema.safeParse(env)
  if (!result.success) {
    const errors = result.error.issues
      .map(i => `  ${i.path.join('.')}: ${i.message}`)
      .join('\n')
    throw new Error(`Environment validation failed:\n${errors}`)
  }
  return result.data
}

export default {
  async fetch(request: Request, rawEnv: Env): Promise<Response> {
    // 每次请求验证一次（确保没有遗漏）
    // 或者用一个全局验证只在启动时跑一次
    const env = validateEnv(rawEnv)
 
    // 后续代码使用 env，类型安全
    const response = await fetch('https://api.openai.com/...', {
      headers: { 'Authorization': `Bearer ${env.OPENAI_API_KEY}` },
    })
 
    return response
  }
}

// src/config/env.ts
let validatedEnv: Env | null = null
 
export function getEnv(rawEnv: unknown): Env {
  if (!validatedEnv) {
    validatedEnv = validateEnv(rawEnv)
  }
  return validatedEnv
}

# API Key / Secret
OPENAI_API_KEY=xxx
ANTHROPIC_API_KEY=xxx
JWT_SECRET=xxx
SESSION_SECRET=xxx
 
# 数据库
DATABASE_URL=xxx
DATABASE_PASSWORD=xxx
REDIS_URL=xxx
 
# 第三方服务
SENDGRID_API_KEY=xxx
STRIPE_SECRET_KEY=xxx
AWS_SECRET_ACCESS_KEY=xxx
 
# 功能配置
LOG_LEVEL=info
MAX_UPLOAD_SIZE=10485760
FEATURE_FLAG_NEW_UI=true
 
# 环境标识
NODE_ENV=production
WORKER_ENV=production

# 后缀约定
*_SECRET      → JWT Secret、Session Secret
*_KEY         → API Key、Access Key
*_PASSWORD    → 数据库密码
*_TOKEN       → OAuth Token、Bearer Token
*_DSN         → 连接字符串（可能包含密码）

# 前缀区分来源
OPENAI_*        → OpenAI 相关配置
ANTHROPIC_*     → Anthropic 相关配置
STRIPE_*        → Stripe 支付相关
CLOUDFLARE_*    → Cloudflare 相关

# wrangler.toml
name = "my-api"
main = "src/worker.ts"
 
# 开发环境默认
[vars]
LOG_LEVEL = "debug"
API_BASE_URL = "http://localhost:8787"
 
# Staging 环境
[env.staging]
name = "my-api-staging"
routes = [
  { pattern = "staging-api.example.com/*", zone_name = "example.com" }
]
[env.staging.vars]
LOG_LEVEL = "info"
API_BASE_URL = "https://staging-api.example.com"
 
# Production 环境
[env.production]
name = "my-api-production"
routes = [
  { pattern = "api.example.com/*", zone_name = "example.com" }
]
[env.production.vars]
LOG_LEVEL = "warn"
API_BASE_URL = "https://api.example.com"
 
# Secrets 不在 wrangler.toml 里，通过 CLI 按环境设置
# wrangler secret put OPENAI_API_KEY --env staging
# wrangler secret put OPENAI_API_KEY --env production

# .dev.vars（本地开发用，不提交到 Git）
OPENAI_API_KEY=sk-test-xxx
JWT_SECRET=dev-secret-not-for-production

# 错误：所有 Worker 共享所有 Key
# wrangler.toml for worker-a
[vars]
OPENAI_API_KEY = "xxx"
STRIPE_SECRET_KEY = "xxx"
SENDGRID_API_KEY = "xxx"
DATABASE_PASSWORD = "xxx"
 
# 正确：每个 Worker 只给需要的 Key
# wrangler.toml for worker-a（AI 接口）
[vars]
OPENAI_API_KEY = "xxx"
# 不需要 STRIPE、SENDGRID、DATABASE_PASSWORD
 
# wrangler.toml for worker-b（支付接口）
[vars]
STRIPE_SECRET_KEY = "xxx"
# 不需要 OPENAI、SENDGRID

# 最小权限：每个 Worker 只绑定需要的资源
# AI Worker
[[d1_databases]]
binding = "DB"
database_name = "ai-features"  # 只访问 AI 相关的数据库
 
# 支付 Worker
[[d1_databases]]
binding = "DB"
database_name = "payments"  # 只访问支付相关的数据库