Ano ang Environment Variables at Secrets? Isang Simpleng Gabay

Ang environment variable ay isang pinangalanang setting, gaya ng DATABASE_URL o STRIPE_SECRET_KEY, na ibinibigay sa app mo kapag tumatakbo ito, sa halip na isulat sa code. Ang secret naman ay environment variable na kailangang manatiling pribado ang halaga: isang API key, password, o signing key. Kapag nasa labas ng code ang mga halagang ito, puwede mo silang palitan nang hindi ginagalaw ang app, gumamit ng magkaibang halaga para sa testing at para sa totoong customer, at hindi sila mai-leak kapag ibinahagi o na-publish mo ang code.

Bakit mahalaga ito kapag gumagawa ka gamit ang AI

Sa sandaling gumawa ang app mo ng kapaki-pakinabang na bagay gamit ang ibang serbisyo, gaya ng pagtanggap ng bayad, pagpapadala ng email, o pagtawag sa AI model, kakailanganin nito ng key. Madalas humingi ng ganitong keys ang mga AI app builder, at ang kung saan mapupunta ang key ang magdedetermina kung ligtas ang app mo.

Dalawang bagay ang madalas magkamali sa mga app na gawa ng AI:

• Naipaste ang key sa chat o sa code. Mananatili ito sa chat history, sa mga project file, at sa anumang export o repository. Sinumang makakita nito ay puwedeng gumamit ng account mo.
• Ginagamit ang key sa browser. Kapag ang code na tumatawag sa Stripe o OpenAI ay tumatakbo sa page, ipinapadala ang key sa bawat bisita. Tumitingin talaga ang mga tao, at palagi ring nag-i-scan ang mga automated tool para sa mga nakalantad na key.

Kapag naiintindihan mo ang environment variables, makikita mo ang dalawang problemang ito at mahihingi mo ang tamang ayos.

Isang halimbawa mula sa araw-araw: ang hotel safe

Parang kuwarto ng hotel ang code ng app mo. Dumadaan dito ang mga bisita, ang mga tagalinis, at sinumang binigyan mo ng key card. Hindi mo iiwan ang passport mo sa ibabaw ng mesa.

Ang environment variables ang safe sa loob ng kuwarto. Alam ng kuwarto na may safe at kung paano ito bubuksan kapag kailangan, pero hindi nakalatag kung saan-saan ang passport. At kapag lumipat ka sa ibang kuwarto, mula sa test setup patungo sa live site mo, maglalagay ka ng ibang passport sa safe ng kuwartong iyon nang hindi binabago ang buong kuwarto.

Paano ito gumagana

Pangalan ang tinutukoy ng code mo, hindi ang mismong halaga. Sa JavaScript sa server, ganito ang itsura: process.env.STRIPE_SECRET_KEY. Pagsisimula ng app, pupunuan ng platform na pinapatakbuhan nito ang halaga para sa pangalang iyon. Palitan mo ang halaga sa settings ng platform, i-restart o i-redeploy, at gagamitin na ng app ang bago. Walang kailangang baguhin sa code.

Nakadepende kung saan galing ang mga halaga sa kung saan tumatakbo ang app:

Pampubliko vs. secret na variable

Hindi lahat ng environment variable ay secret. Makakatulong na paghiwalayin ang mga ito sa dalawang grupo:

Malinaw na ginagawa ito ng mga web framework. Sa Vite, tanging mga variable na nagsisimula sa VITE_ ang isinasama sa browser code; sa Next.js naman, ang prefix ay NEXT_PUBLIC_. Isa itong safety feature: ang anumang may ganoong prefix ay napupunta sa mga file na dina-download ng bawat bisita, kaya hindi dapat bigyan ng ganoong prefix ang secret.

Halimbawang gawa: isang AI summary button

Gusto mo ng button na "Summarise this note" na tumatawag sa AI model.

Ang hindi ligtas na bersyon: ang code ng button, tumatakbo sa browser, ay direktang tumatawag sa AI provider na may API key na nakasulat dito. Gumagana ito sa preview. Pero ibig sabihin nito, sinumang magbukas ng developer tools ng browser ay makakakopya ng key at makakapagpatakbo ng gastos sa account mo.

Ang ligtas na bersyon:

1. Gumawa ka ng key sa AI provider at iimbak ito bilang secret na may pangalang OPENAI_API_KEY (o katulad nito) sa settings ng project mo.
2. Ang backend ay may route, POST /api/summarise, na bumabasa ng process.env.OPENAI_API_KEY, tumitingin na naka-log in ang user, at tumatawag sa provider.
3. Ang button ay tumatawag sa iyong route, hindi sa provider. Hindi kailanman nakikita ng browser ang key.
4. Idinadagdag mo ang parehong secret sa settings ng na-publish na app at nire-redeploy, para mayroon din ang live site.

Ang pattern na iyon, kung saan tumatawag ang browser sa server mo at hawak ng server ang key at tumatawag sa serbisyo, ay ginagamit para sa bayad, email, mapa, at bawat iba pang bayad na API. Sakop ng gabay sa paggamit ng LLM APIs ang kaso ng AI nang mas malalim.

Mahahalagang termino

• .env file: isang text file na may mga linyang NAME=value, ginagamit sa lokal na development. Ilagay ito sa .gitignore para hindi ma-commit.
• .env.example: kopya na may mga pangalan pero walang totoong halaga. Ina-commit ito para malaman ng iba kung aling variable ang itatakda.
• Rotate: palitan ang secret ng bago at i-revoke ang luma.
• Scope / permissions: maraming provider ang nagpapahintulot na gumawa ng keys na para lang sa ilang gawain. Mas kaunti ang panganib ng key na pang-email lang kaysa sa key na puwedeng gumawa ng lahat.
• Test vs live keys: nagbibigay ang mga provider gaya ng Stripe ng hiwalay na key para sa testing at para sa totoong pera. Gamitin ang test keys hanggang sa ilunsad mo ang app.
• Signing secret: secret na ginagamit para matiyak na ang mensahe, gaya ng webhook, ay galing talaga sa nagpadala.

Mga karaniwang pagkakamali at maling akala

• "Private ang repository ko, kaya ayos lang na may keys doon." Naibabahagi, nafo-fork, naie-export, at nakokopya sa mga laptop ang mga private repository. Hindi pa rin dapat nandoon ang keys. Kung ikinonekta mo ang project sa GitHub, siguraduhing walang kasamang .env file.
• "Binura ko na, kaya wala na." Itinatago ng Git ang history, at nagtatago ng mensahe ang chat logs. Kapag nalantad na ang key kahit minsan, palitan (rotate) ito.
• Paglalagay ng public prefix sa secret. Ang VITE_OPENAI_KEY ay naglalagay ng key mo sa browser bundle.
• Pagkalimot mag-redeploy. Kadalasan, magkakabisa lang ang pagbabago sa variable pagkatapos mag-restart o mai-publish muli ang app.
• Iisang key para sa lahat. Ang hiwalay na key para sa test at live, at para sa bawat app, ay nagbibigay-daan na i-revoke ang isa nang hindi nasisira ang iba.
• Walang limitasyon sa gastos. Para sa bayad na API, magtakda ng budget o limit sa dashboard ng provider kung sakaling ma-leak ang key.

Ano ang hihingin mo sa AI builder mo

• "Basahin ang Stripe secret key mula sa environment variable na tinatawag na STRIPE_SECRET_KEY. Gamitin lang ito sa server."
• "Siguraduhing walang secret na ginagamit sa client-side code o binibigyan ng prefix na VITE_ / NEXT_PUBLIC_."
• "Gumawa ng .env.example na naglilista ng bawat variable na kailangan ng app, nang walang halaga, at siguraduhing naka-git-ignore ang .env."
• "Suriin ang mga na-build na frontend file para sa anumang string na mukhang API key."

Sakop ng security checklist para sa mga app na gawa ng AI ang secrets kasama ng iba pang tseke na sulit gawin bago ilunsad.

Secrets sa Mythex

Sa Mythex, ang secrets ay mga environment variable ng project na itinuturok sa parehong preview sandbox at sa na-publish mong app. Idinadagdag mo ang mga ito sa ilalim ng project settings → Secrets o gamit ang /secrets sa chat. Kapag kailangan ng agent ang key, magpapakita ito ng secrets card sa chat, kaya napupunta ang halaga sa form field at hindi sa transcript ng mensahe. Kapag binago mo ang secret ng live na app, mag-publish ulit para makuha ng deploy ang bago. Hindi kasama ang secrets sa project exports, at tinatanggal ang mga na-import na .env file para muli mo silang idagdag sa settings. Tingnan ang environment variables at secrets at secrets sa chat sa docs.

Mga tanong