Biến môi trường trong Node.js (process.env) được quản lý như thế nào và những rủi ro bảo mật nào thường gặp khi cấu hình sai?

Question

Accepted Answer

Khái niệm và cách quản lý process.env
Trong Node.js, process.env là một đối tượng toàn cục chứa các biến môi trường của hệ điều hành nơi tiến trình đang chạy. Thư viện phổ biến như dotenv thường được sử dụng trong môi trường phát triển để nạp các biến từ file .env vào process.env.
Rủi ro bảo mật thường gặp

Lộ thông tin nhạy cảm (Secrets Exposure): Việc vô tình đưa các biến môi trường chứa thông tin mật khẩu cơ sở dữ liệu, API keys, JWT secret vào mã nguồn và đẩy lên Git công khai.
Ghi đè biến môi trường: process.env có thể bị thay đổi giá trị ở bất cứ đâu trong mã nguồn nếu không được kiểm soát chặt chẽ, dẫn đến lỗi logic khó debug.
Kiểu dữ liệu không chính xác: Tất cả các giá trị trong process.env mặc định đều là kiểu String. Nếu lập trình viên không ép kiểu (ví dụ: PORT=3000 hoặc DB_TIMEOUT=5000), có thể gây ra lỗi khi thực hiện các phép toán học hoặc so sánh.

Best Practices khi làm việc với process.env

Sử dụng thư viện Validation: Sử dụng các công cụ như Joi hoặc envalid để kiểm tra tính hợp lệ của biến môi trường ngay khi ứng dụng khởi động. Nếu thiếu biến quan trọng, ứng dụng sẽ dừng lại ngay lập tức thay vì chạy ngầm với trạng thái lỗi.
Không bao giờ commit file .env: Luôn thêm file .env vào danh sách .gitignore và cung cấp một file mẫu .env.example không chứa giá trị thực tế.

Ví dụ xác thực biến môi trường với Joi
const Joi = require('joi');
require('dotenv').config();

const envSchema = Joi.object({
    PORT: Joi.number().default(3000),
    DATABASE_URL: Joi.string().required(),
    JWT_SECRET: Joi.string().required()
}).unknown();

const { error, value: envVars } = envSchema.validate(process.env);

if (error) {
    throw new Error(`Cấu hình biến môi trường không hợp lệ: ${error.message}`);
}

module.exports = envVars;

Biến môi trường trong Node.js (process.env) được quản lý như thế nào và những rủi ro bảo mật nào thường gặp khi cấu hình sai?

Khái niệm và cách quản lý process.env

Khóa học Node.js & NestJS Microservices

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi node.js liên quan cùng chủ đề