Confronto file ENV

Confrontare a occhio un file .env di staging con quello di produzione, o la configurazione di oggi con quella di una settimana fa, è il modo in cui nascono i veri disservizi: un DATABASE_URL mancante, una PORT che cambia silenziosamente, una chiave API ruotata solo in un ambiente. Incollare entrambi i file in un diff testuale generico non aiuta molto — ti mostra quali righe sono diverse, non quali variabili d'ambiente sono effettivamente cambiate, e stampa ogni valore segreto in chiaro nel momento stesso in cui condividi il risultato con un collega.

Questo strumento analizza entrambi i file nel modo in cui dotenv li legge realmente — una coppia CHIAVE=valore per riga, commenti # e righe vuote ignorati, valori tra apici singoli o doppi privati delle virgolette (con \n rimosso solo tra apici doppi, esattamente come prevede la convenzione dotenv) e un prefisso opzionale export CHIAVE=valore tollerato come negli env file usati con shell. Ogni file diventa una mappa pulita chiave-valore e le due mappe vengono confrontate per chiave: presente solo nel File A è 'rimossa', presente solo nel File B è 'aggiunta', presente in entrambi con valore diverso è 'modificata', mentre i valori identici sono 'invariati' e nascosti per impostazione predefinita così che la tabella resti focalizzata su ciò che è davvero cambiato.

La funzionalità che lo rende sicuro da usare con segreti reali è il mascheramento automatico. Ogni valore mostrato nella tabella diff viene verificato rispetto a due segnali indipendenti: il nome della chiave sembra un segreto (corrispondenza case‑insensitive con KEY, SECRET, TOKEN, PASSWORD, PRIVATE o CREDENTIAL) oppure il valore stesso ha alta entropia di Shannon — la stessa misura della teoria dell'informazione (-Σ p(c)·log₂(p(c)) sui caratteri del valore) che distingue statisticamente chiavi API, token e password casuali dalle parole comuni anche quando il nome della chiave non dà indizi. Basta uno solo di questi segnali per mascherare un valore mostrando solo i primi e gli ultimi due caratteri, calcolati indipendentemente per il lato vecchio e nuovo di ogni riga modificata.

Tutto — parsing, confronto, calcolo dell'entropia e mascheramento — avviene interamente nel tuo browser; nessuno dei due file, né alcun valore estratto da essi, viene mai inviato da nessuna parte. Questa è la garanzia giusta per uno strumento il cui intero compito è guardare fianco a fianco due file che con ogni probabilità contengono vere credenziali di database, chiavi API e password.