Mga Secret at Environment Variables Nang Hindi Ipinapaste ang Key sa Chat

Karamihan sa totoong app ay nangangailangan ng kahit isang secret: key ng payment provider, key ng email service, o key para sa AI API. Sa Mythex, hindi mo ito ipinapaste sa prompt. Kapag kailangan ito ng agent, magpapakita ito ng secrets request card sa chat, ita-type mo ang value sa card, at ise-save ito bilang project secret na mababasa ng app mo, nang hindi napupunta ang key sa usapan.

Ano ang ginagawa nito

Ang bawat Mythex project ay maaaring mag-imbak ng environment variables: mga pinangalanang value, gaya ng STRIPE_SECRET_KEY, na binabasa ng app mo kapag tumatakbo ito sa halip na isulat nang direkta sa code. Ang secrets ay environment variables na ang value ay dapat manatiling pribado.

Pareho ang mga value sa dalawang lugar:

Ang sandbox, kung saan binubuo at pinapatakbo ng agent ang app mo habang nagtatrabaho ka.
Ang mga na-publish mong deployment, kung saan ginagamit ito ng mga bisita.

May tatlong paraan para idagdag ang mga ito:

Ang secrets request card, na ipinapakita ng agent sa chat kapag kailangan nito ng key para matapos ang isang gawain.
Project settings → Secrets, kung saan maaari kang magdagdag o mag-edit ng value anumang oras.
/secrets sa chat, para magdagdag o mag-update ng secrets kapag hiniling mo.

Bakit ito nakakatulong

Ang pinaka-halatang paraan para bigyan ng key ang AI agent ay ipaste ito sa mensahe mo. Gumagana ito, pero nagiging bahagi ng chat history mo ang key, nakasulat sa plain text sa tabi ng lahat ng sinabi mo.

Pinananatili ng secrets card ang value sa labas ng transcript. Ilalagay mo ito sa mga field ng card, hindi sa message box, at ise-save ito bilang project secret. Magpapatuloy ang agent na available ang key sa sandbox.

Ang pagtatago ng mga key sa project settings sa halip na sa code ay may iba pang benepisyo:

Hindi napupunta sa source control ang mga key. Tinutukoy ng code mo ang key sa pamamagitan ng pangalan; nasa project settings ang value.
Pareho ang configuration na nakikita ng agent at ng tumatakbong app mo. Walang kopyang nagiging luma.
Maaari mong i-rotate ang key nang hindi nire-rewrite ang code. Palitan ang value sa settings; binabasa pa rin ito ng code sa pamamagitan ng pangalan.

Kung bago pa sa iyo ang environment variables, ipinapaliwanag ng aming gabay tungkol sa ano ang environment variables at secrets ang ideya mula sa simula.

Paano gamitin ang secrets card

Humiling ng feature, halimbawa, "magpadala ng welcome email kapag may nag-sign up".
Kapag kailangan ng agent ang key, lalabas ang secrets request card sa chat na nakalista ang value na kailangan.
Ilagay ang value sa mga field ng card, hindi sa message box.
Kumpirmahin. Ise-save ang value bilang project secret.
Magpapatuloy ang agent, na available ang key sa sandbox.

Paano magdagdag ng secrets nang mag-isa

Buksan ang project settings, pagkatapos ang Secrets.
Magdagdag ng mga key gaya ng STRIPE_SECRET_KEY, OPENAI_API_KEY, o ang sarili mong service credentials.
Hilingin sa agent na basahin ang mga ito sa karaniwang paraan ng framework mo, halimbawa mula sa process.env sa isang Node app.
I-republish kung kailangan ng na-publish na app ang mga bagong value.

Maaari mo ring i-type ang /secrets sa chat para idagdag o i-update ang mga ito roon.

Pagpalit ng secret sa na-publish na app

Kinukuha ng na-publish na app ang secrets sa oras ng pag-publish. Pagkatapos magdagdag o magpalit ng isa, mag-publish muli para makuha ng live deployment ang bagong value. Hanggang doon, ginagamit pa rin ng mga bisita ang app gamit ang lumang configuration.

Mga tip sa seguridad

Huwag kailanman i-commit ang secrets sa repository. Itago ang mga ito sa project settings.
Mas mainam ang server-only keys para sa mga pribilehiyadong operasyon. Ang key na kayang mag-charge ng card o magpadala ng email ay dapat nasa code na tumatakbo sa server, hindi sa anumang dina-download ng browser ng bisita.
Kapag lumabas ang key sa chat history, i-rotate ito. Gumawa ng bagong key sa provider, i-revoke ang luma, at i-update ang value sa project settings. Ituring na nalantad ang anumang key na naipaste na sa chat.

Mga limitasyon

Makakatulong lang ang card kung gagamitin mo ito. Kung ipinaste mo pa rin ang key sa message box, nasa transcript na ito. I-rotate ito sa provider at i-update ang naka-imbak na value.
Kailangan ng republish ng mga na-publish na app para makuha ang bago o binagong secrets.
Ang ligtas na pag-imbak ng key ay hindi nangangahulugang ligtas na ang bawat paggamit nito. Mahalaga pa rin kung saan ginagamit ang key. Panatilihin ang mga pribilehiyadong key sa server side ng app mo.

Para sa higit pa tungkol sa pagpapanatiling ligtas ng app bago mo ito i-share, tingnan ang aming security checklist para sa AI-built apps.

Nasa docs ang detalye: Environment variables and secrets at Secrets in chat.