如何保护你的环境变量和密钥

分步操作

1. 1

   弄清哪些变量是公开的

   像 NEXT_PUBLIC_、VITE_ 或 REACT_APP_ 这样的前缀会发往浏览器。绝不要把真正的密钥放在公开前缀之后——只放非敏感配置。

2. 2

   把密钥保留在服务端

   把 API 密钥、service-role 密钥和令牌存放在仅限服务端的环境变量中，并且只从服务端代码或无服务器函数访问它们。

3. 3

   忽略并清除 .env 文件

   把 .env 和 .env*.local 加入 .gitignore。如果某个密钥曾被提交，请轮换它并从 git 历史中彻底清除——否则它会留在旧提交里。

4. 4

   扫描并验证

   扫描你已部署的打包文件和仓库是否有暴露的密钥，并轮换任何泄露的内容。