Proměnné prostředí a tajemství

Tahle lekce je krátká a je to jedna z nejdůležitějších v celém kurzu.

Problém

Aplikace potřebuje znát věci, které nesmí být v kódu:

• klíč k cizí službě;
• přístup k databázi;
• tajemství na podepisování přihlášení.

Kdyby byly v kódu, byly by na GitHubu. A cokoliv na GitHubu si může přečíst kdokoliv, kdo k repozitáři má přístup – a u veřejného repozitáře úplně každý.

Řešení: proměnné prostředí

Proměnná prostředí je hodnota, kterou aplikace dostane zvenčí, ne z kódu.

Ve vývoji jsou uložené v souboru .env (nebo .env.local) ve složce projektu:

DATABASE_URL="postgresql://..."
RESEND_API_KEY="re_abc123..."
NEXT_PUBLIC_SITE_URL="http://localhost:3000"

V produkci je nastavíš v administraci hostingu. Stejná jména, jiné hodnoty.

Veřejné versus tajné proměnné

Tohle je detail, na kterém se lidé pálí nejčastěji.

V Next.js platí jednoduché pravidlo:

Praktická kontrola

Projdi projekt a zkontroluj práci s tajemstvími:

1. Je .env (a všechny jeho varianty) v .gitignore?
2. Existuje .env.example se jmény proměnných bez hodnot?
3. Je v kódu někde napsaný klíč, heslo nebo token natvrdo? Projdi
 i komentáře a testovací soubory.
4. Má některá proměnná s předponou NEXT_PUBLIC_ hodnotu, která by
 měla být tajná?
5. Používá se někde v kódu, který běží v prohlížeči, tajná proměnná?

U každého bodu mi napiš výsledek. Nic zatím neopravuj.

Kdy o tom Claude bude mluvit

• „Přidej si do .env.local proměnnou X.“ → Potřebuje hodnotu, kterou si musíš obstarat sám.
• „Nastav to i na hostingu.“ → Lokální .env se na server nekopíruje, musíš to zadat v administraci.
• „Tenhle kód musí běžet na serveru, protože používá tajný klíč.“ → Přesně tak, jak má být.