ENV Diff Checker

Att jämföra en staging .env-fil mot produktion, eller dagens deploy-konfiguration med förra veckans, för hand är hur verkliga driftstopp startar: en DATABASE_URL som saknas, en PORT som tyst har ändrats, en API-nyckel som roterats i en miljö men inte den andra. Att klistra in båda filerna i en generisk textdiff hjälper inte heller mycket – den visar vilka rader som skiljer sig, inte vilka miljövariabler som faktiskt har ändrats, och den visar glatt varje känsligt värde i klartext så fort du delar resultatet med en kollega.

Verktyget tolkar båda filerna så som dotenv faktiskt läser dem – ett KEY=värde-par per rad, # kommentarer och tomma rader ignoreras, värden med enkla eller dubbla citattecken avciteras (med \n avkodat endast inuti dubbla citattecken, precis som dotenv-konventionen anger), och ett valfritt export KEY=värde-prefix tolereras så som det används i shell-källade .env-filer. Varje fil blir en ren nyckel-till-värde-mappning, och de två mapparna diffas sedan per nyckel: finns endast i Fil A är 'borttagen', finns endast i Fil B är 'tillagd', finns i båda med olika värde är 'ändrad', och identiska värden är 'oförändrad' och döljs som standard så att tabellen håller fokus på det som faktiskt skiljer sig.

Funktionen som gör det här säkert att faktiskt använda med verklig känslig information är automatisk maskering. Varje värde som visas i difftabellen kontrolleras mot två oberoende signaler: ser nyckelnamnet ut att vara en hemlighet (en skiftlägesokänslig matchning mot KEY, SECRET, TOKEN, PASSWORD, PRIVATE eller CREDENTIAL), eller har själva värdet hög Shannon-entropi – samma informationsteoretiska mått (-Σ p(c)·log2(p(c)) över värdets tecken) som flaggar API-nycklar, tokens och slumpmässiga lösenord som statistiskt avvikande från vanliga ord även när nyckelnamnet inte ger någon ledtråd. Vilken signal som helst räcker för att maskera ett värde till dess två första och två sista tecken, beräknat oberoende för den gamla och nya sidan av varje ändrad rad.

Allt – tolkning, diffning, entropiberäkning och maskering – körs helt och hållet i din webbläsare; varken filerna eller något värde som extraherats från dem skickas någonsin någonstans. Det är den rätta garantin för ett verktyg vars hela uppgift är att titta på två filer som sannolikt innehåller riktiga databasuppgifter, API-nycklar och lösenord sida vid sida.