Cara Berkongsi Fail .env dan Pemboleh Ubah Persekitaran dengan Pasukan Anda Secara Selamat

Saat Orientasi yang Kita Semua Bimbangkan

Seorang pembangun baru menyertai pasukan. Mereka menyediakan persekitaran tempatan dan bertanya soalan yang tidak dapat dielakkan:

"Boleh seseorang hantar fail .env?"

Apa yang berlaku seterusnya boleh diramalkan. Seorang pembangun senior menyalin keseluruhan kandungan .env mereka — kata laluan pangkalan data, kunci API, rahsia pihak ketiga — dan meletakkannya ke dalam DM Slack atau WhatsApp. Mesej itu kini hidup di pelayan di suatu tempat, boleh dicari, selama-lamanya.

Cara Selamat Berkongsi Fail .env

1. Pengurus Rahsia

Doppler, HashiCorp Vault, dan AWS Secrets Manager dibina khusus untuk ini. Standard emas untuk pasukan yang lebih besar.

2. Pengurus Kata Laluan Pasukan

1Password Teams dan Bitwarden Organization menyokong peti besi dikongsi untuk menyimpan kandungan .env.

3. Memo Musnah Sendiri Dilindungi Kata Laluan

Untuk perkongsian pantas sekali guna — seperti orientasi pembangun baru — alat seperti LOCK.PUB berfungsi dengan baik. Tampal kandungan .env anda ke dalam memo rahsia, tetapkan kata laluan dan masa tamat tempoh, kemudian kongsi pautan melalui Slack dan kata laluan melalui saluran berasingan.

4. Fail Disulitkan GPG

Untuk pasukan yang mementingkan keselamatan. Kelemahannya ialah setiap ahli pasukan perlu menguruskan kunci GPG.

Amalan Terbaik untuk Pengurusan .env

1. Tambah .env ke .gitignore serta-merta
2. Selenggara fail .env.example dengan nilai placeholder
3. Gunakan kelayakan berbeza per persekitaran — Dev, staging, dan produksi tidak sepatutnya berkongsi kunci yang sama
4. Putar rahsia secara berkala
5. Batalkan akses apabila orang meninggalkan — Putar setiap rahsia yang mereka akses

Berhenti Menghantar Rahsia dalam Teks Biasa

Berkongsi fail .env mungkin kelihatan seperti butiran aliran kerja kecil, tetapi ia adalah salah satu sumber kebocoran kelayakan yang paling biasa. Sama ada anda melabur dalam pengurus rahsia penuh atau menggunakan LOCK.PUB untuk berkongsi kelayakan dengan tarikh tamat tempoh, yang penting ialah memecahkan tabiat menampal rahsia ke dalam mesej chat.