ENV Diff ellenőrző

Egy átmeneti .env fájl és az éles verzió, vagy a mai telepítési konfiguráció összehasonlítása a múlt hetivel, szemrevételezéssel, hogyan kezdődnek a valódi kimaradások: egy hiányzó DATABASE_URL, egy PORT, amely csendesen megváltozott, egy API-kulcs, amelyet az egyik környezetben elforgattak, a másikban nem. A két fájl beillesztése egy általános szövegdiff-be sem segít sokat – megmutatja, hogy melyik sorok különböznek egymástól, nem pedig azt, hogy valójában mely környezeti változók változtak, és boldogan nyomtat minden titkos értéket, amint megosztja a kimenetet egy csapattársával.

Ez az eszköz mindkét fájlt úgy elemzi, ahogyan a dotenv valóban olvassa őket – soronként egy KEY=értékpár, # megjegyzés és üres sor figyelmen kívül hagyása, az egyszeres vagy dupla idézőjeles értékek idézőjelek nélkül (a \n csak a dupla idézőjelekben nem szabadul meg, pontosan ahogy a dotenv-konvenció előírja), és egy opcionális export KEY=value előtag a shevll által használt módon. Minden fájl tiszta kulcs-érték leképezéssé válik, és a két leképezés kulcsonként különbözik egymástól: csak az A fájlban jelenlévő „eltávolítva”, a csak a B fájlban jelenlévő „hozzáadva”, mindkettőben eltérő értékkel „megváltozott”, és az azonos értékek „változatlanok” és alapértelmezés szerint el vannak rejtve, így a táblázat a ténylegesen eltérő dolgokra összpontosít.

A funkció, amely biztonságossá teszi a valódi titkokkal való tényleges használatát, az automatikus maszkolás. A differenciáltáblázatban szereplő minden értéket két független jellel ellenőrzik: a kulcs neve titkosnak tűnik-e (a KEY, SECRET, TOKEN, PASSWORD, PRIVATE vagy CREDENTIAL karakterek megkülönböztetése nélkül), vagy maga az érték magas Shannon-entrópiával rendelkezik - ugyanaz az információelméleti mérőszám (-Σ p(c)·log)2sp, mint a kulcs értéke. tokenek és véletlen jelszavak statisztikailag különböznek a közönséges szavaktól, még akkor is, ha a kulcs neve nem ad utalást. Bármelyik jel elegendő ahhoz, hogy egy értéket az első és az utolsó két karakterig elfedjen, függetlenül attól, hogy minden megváltozott sor régi és új oldalára kerüljön.

Minden – elemzés, differenciálás, entrópia pontozás és maszkolás – teljes mértékben a böngészőjében fut; sem fájlt, sem belőlük kivont értéket nem küldenek soha sehova. Ez a megfelelő garancia egy olyan eszköz számára, amelynek teljes feladata két olyan fájl megvizsgálása, amelyek valószínűleg valódi adatbázis hitelesítő adatokat, API-kulcsokat és jelszavakat tartalmaznak egymás mellett.