Verificador de diferenças ENV

Comparando um arquivo .env de teste com a produção, ou a configuração de implantação de hoje com a da semana passada, é como as interrupções reais começam: um DATABASE_URL ausente, uma PORT que mudou silenciosamente, uma chave de API que foi rotacionada em um ambiente, mas não no outro. Colar os dois arquivos em uma comparação de texto genérica também não ajuda muito - ele mostra quais linhas diferem, não quais variáveis ​​de ambiente realmente mudaram, e felizmente imprime cada valor secreto à vista no momento em que você compartilha a saída com um colega de equipe.

Esta ferramenta analisa ambos os arquivos da maneira como o dotenv realmente os lê - um par KEY = valor por linha, # comentários e linhas em branco ignorados, valores entre aspas simples ou duplas sem aspas (com \n sem escape apenas entre aspas duplas, exatamente como a convenção dotenv especifica) e um prefixo opcional de exportação KEY = valor tolerado da maneira como os arquivos env de origem shell o usam. Cada arquivo se torna um mapa limpo de chave-valor, e os dois mapas são então diferenciados por chave: presente apenas no arquivo A é 'removido', presente apenas no arquivo B é 'adicionado', presente em ambos com um valor diferente é 'alterado' e valores idênticos são 'inalterados' e ocultos por padrão para que a tabela permaneça focada no que realmente difere.

O recurso que torna isso seguro para uso real com segredos reais é o mascaramento automático. Cada valor mostrado na tabela diff é verificado em relação a dois sinais independentes: seu nome de chave parece um segredo (uma correspondência sem distinção entre maiúsculas e minúsculas com KEY, SECRET, TOKEN, PASSWORD, PRIVATE ou CREDENTIAL) ou o próprio valor tem alta entropia de Shannon - a mesma medida teórica da informação (-Σ p(c)·log2(p(c)) sobre os caracteres do valor) que sinaliza chaves de API, tokens e senhas aleatórias como estatisticamente diferentes de palavras comuns, mesmo quando o nome da chave não dá nenhuma dica. Qualquer sinal é suficiente para mascarar um valor até seus dois primeiros e últimos caracteres, calculados independentemente para o lado antigo e o novo de cada linha alterada.

Tudo – análise, comparação, pontuação de entropia e mascaramento – é executado inteiramente no seu navegador; nenhum arquivo, nem qualquer valor extraído deles, é enviado para qualquer lugar. Essa é a garantia certa para uma ferramenta cujo trabalho inteiro é examinar dois arquivos que provavelmente contêm credenciais reais de banco de dados, chaves de API e senhas lado a lado.