模块dotenv仅用于开发吗？

Question

我正在寻找一个生产解决方案来存储ENV_VARIABLE用于Node.js项目，并且遇到了dotenv ，它是一个Node.js模块，用于读取.env并使其变量在process.env可用。 但我也遇到过另一篇文章 ，其中指出dotenv应仅用于开发。

dotenv应该只用于开发吗？ 如果是，那么env变量的生产解决方案是什么？

Answer 1

tl; dr - 是的， dotenv确实只推荐用于开发，但如果你小心并理解其含义，你也可以将它用于生产。

为了理解为什么dotenv仅被推荐用于开发，让我们来看看人们通常放入他们的.env文件中的东西。

人们放入他们的.env文件的常见嫌疑是：

• 当前执行环境（ NODE_ENV ）
• 数据库URL（ POSTGRES_URL ， MONGODB_URL等）
• AWS凭据
• JWT签名密钥
• 各种自定义配置选项，可在不影响源代码的情况下轻松调整（即REQUEST_TIMEOUT ， MAX_BODY_SIZE等）

正如您所看到的，这些内容大多包含敏感信息 （凭据，密码等）。 通常，在实际部署应用程序时，这些值直接存储在服务器的环境中，而不是源代码的一部分。 原因是强烈建议将敏感数据提交给git存储库（即使它是私有的），因为它最终可能会泄漏 - 无论是通过使存储库公开还是意外地提供对其他人的访问，或者为了无数的其他原因。

因此，这些敏感值直接存储在目标部署服务器上，只有少数人可以看到它们，并且在发生意外泄漏时很容易更换它们。

另一方面， .env文件通常不是源代码的一部分，只存在于各个用户的机器上。 开发人员将提供他们自己的，唯一的安全密钥，密码和其他敏感信息，这些信息通常仅在他们自己的机器上工作，因此泄漏不太可能造成太大的伤害。

通常不建议提交.env文件的另一个重要原因是它的目的是允许各个开发人员为他们自己的机器和/或开发过程定制配置。 共享相同的.env文件会失败。

而且不建议这样做的另一个重要原因是，在进行更复杂的部署时，您很可能不会只有生产 - 您还将拥有升级 ， 测试版 ，甚至更多的部署环境，每个环境都具有不同的稳定性或者不同的评论组。 环境变量是为特定目的自定义/配置应用程序的好方法。 但是，如果您只通过单个.env文件管理配置，则放弃了这种灵活性，因为您只有一组这些环境变量。

好的，但我还是想部署我的.env文件！

如果

• 您不打算将.env用于敏感数据
• 不要使用.env文件作为在每个开发人员和/或每个部署的基础上自定义应用程序的方法

然后你不用担心 - 如果你愿意，继续使用dotenv进行制作！

如果您计划将其用于敏感数据存储，那么唯一的“安全”方法是在将此文件提交到git之前对其进行加密，并仅解密实际服务器上的文件。

尽管如此，这种管理生产环境的方法可能会引发“Ooooh，nice”的反应，即使是经验丰富的开发人员，特别是为此目的使用dotenv ，最有可能会奖励你“WTF？！”，因为大多数熟练的开发人员我们希望dotenv成为他们可以为他们正在研究的东西配置他们自己的每台机器配置的地方。

Answer 2

名称“环境变量”将告诉我们很多关于用法的信息。 在第二篇文章（中）有一个很好的句子：

环境变量帮助我们定义我们不希望在源代码中进行硬编码的值。 它们允许我们根据其运行环境自定义代码行为。

环境变量总是用于定义不同环境的设置，如数据库连接，上传路径，......

所以我可以说没有dotenv不仅应该用于开发，你也可以在测试，登台或生产环境中使用它。