Ei. Brauserikoodis kasutatav VITE_ väärtus ei ole saladus. Vite asendab need väärtused ehitamise käigus ning need võivad jõuda külastajale saadetavasse JavaScripti. .env on seadistuse hoidmise viis, mitte kliendikoodi krüpteerimine. 1
Erista avalik tunnus ja salajane võti
Mõni teenus annab avalikuks kasutuseks mõeldud võtme. Seda ei tohi segi ajada serverisaladusega, mis lubab näiteks teha sinu kulul päringuid või lugeda piiratud andmeid. Otsusta võtme õiguste ja teenuse juhendi, mitte muutuja nime järgi.
Kui võtmega päring peab jääma salajaseks, tee see serveris või sobivas serverless-funktsioonis. Brauser saab küsida tulemust sinu rakenduse kontrollitud API-lt. Ka see API vajab asjakohaseid õigusi, sisendi kontrolli ja kuritarvituse piiramist.
Kui võti on juba avalikuks läinud
Käsitle seda avaldatud saladusena: tühista või vaheta võti teenuse juures ning kontrolli kasutusajalugu. Pelgalt faili eemaldamine järgmisest build’ist ei muuda varasemat koopiat olematuks. 2
Ära testi oma tegeliku võtme nähtavust avalikes kontrolltööriistades. Kasuta väljamõeldud märgiväärtust ja vaata kohalikku build’i.
Minimeerimine, TypeScripti tüübid ja .gitignore ei kaitse väärtust, mille rakendus ise külastaja brauserisse saadab.
