使用dotenv的安全nodejs生產環境

Question

通過使用dotenv我可以在將其推送到git存儲庫之前忽略開發.env文件，它符合The Twelve-Factor App config factor。它防止配置暴露給其他人，尤其是開源項目。

但是當我將它部署到生產時，我使用雲部署或使用docker時發生卡住。

如何包含此文件？我應該將文件保存到Vault什麼的？

請幫我理解如何保護我的部署環境。

Answer 1

你不知道。服務器環境（docker或其他）需要配置自己的環境變量，而不是開發環境變量。任何在你配置爲應用程序的默認值時都是相同的，這樣即使未設置變量它們也具有該值。

Answer 2

您可以使用filezilla或cyberduck等文件傳輸協議，並將文件傳輸到生產服務器環境。確保發送到服務器的.env文件包含生產數據庫的證書，而不是開發包的證書等等。您也可以將環境變量添加到遠程服務器的.env或.bashrc文件中，但與.env文件相比，這可能不可取。只要沒有人可以訪問遠程服務器（docker，heroku，aws等），您的憑據應該是安全的。永遠不要分享你的.pem文件。