Pemeriksa Diff ENV

Membandingkan file .env staging dengan production, atau konfigurasi deploy hari ini dengan minggu lalu, secara manual adalah awal dari pemadaman nyata: DATABASE_URL yang hilang, PORT yang diam-diam berubah, kunci API yang dirotasi di satu lingkungan tapi tidak di yang lain. Menempel kedua file ke diff teks generik juga tidak banyak membantu — itu menunjukkan baris mana yang berbeda, bukan variabel lingkungan mana yang benar-benar berubah, dan dengan senang hati menampilkan setiap nilai rahasia secara terbuka saat Anda membagikan hasilnya ke rekan tim.

Alat ini memparse kedua file sebagaimana dotenv benar-benar membacanya — satu pasangan KEY=value per baris, komentar # dan baris kosong diabaikan, nilai bertanda kutip tunggal atau ganda dihilangkan kutipannya (dengan \n diterjemahkan hanya di dalam kutipan ganda, persis seperti yang ditentukan konvensi dotenv), dan awalan export KEY=value opsional ditoleransi sebagaimana digunakan oleh file env yang bersumber dari shell. Setiap file menjadi peta kunci-ke-nilai yang bersih, dan kedua peta itu kemudian di-diff berdasarkan kunci: hanya ada di File A adalah 'dihapus', hanya ada di File B adalah 'ditambahkan', ada di kedua file dengan nilai berbeda adalah 'diubah', dan nilai identik adalah 'tidak berubah' dan disembunyikan secara default agar tabel tetap fokus pada apa yang benar-benar berbeda.

Fitur yang membuat ini aman untuk benar-benar digunakan dengan rahasia nyata adalah penyamaran otomatis. Setiap nilai yang ditampilkan di tabel diff diperiksa terhadap dua sinyal independen: apakah nama kuncinya terlihat seperti rahasia (pencocokan case-insensitive terhadap KEY, SECRET, TOKEN, PASSWORD, PRIVATE, atau CREDENTIAL), atau apakah nilainya sendiri memiliki entropi Shannon tinggi — ukuran teori informasi yang sama (-Σ p(c)·log2(p(c)) atas karakter nilai) yang menandai kunci API, token, dan kata sandi acak sebagai berbeda secara statistik dari kata biasa bahkan ketika nama kunci tidak memberikan petunjuk. Salah satu sinyal sudah cukup untuk menyamarkan nilai menjadi dua karakter pertama dan terakhirnya, dihitung secara independen untuk sisi lama dan baru dari setiap baris yang berubah.

Semuanya — parsing, diffing, penilaian entropi, dan penyamaran — berjalan sepenuhnya di browser Anda; baik file, maupun nilai apa pun yang diekstrak darinya, tidak pernah dikirim ke mana pun. Itulah jaminan yang tepat untuk alat yang seluruh tugasnya adalah melihat dua file yang kemungkinan berisi kredensial database asli, kunci API, dan kata sandi secara berdampingan.