환경 변수와 시크릿 관리

.env                 # 모든 환경 공통 (git ignore)
.env.local           # 로컬 우선 (git ignore)
.env.development     # 개발 (git에 들어갈 수도)
.env.production      # 프로덕션 (절대 commit X)
.env.example         # 템플릿 (git에 commit ✅)

# .env.example (commit OK)
DATABASE_URL=postgresql://localhost/myapp
REDIS_URL=redis://localhost:6379
JWT_SECRET=replace-with-strong-secret
STRIPE_SECRET_KEY=sk_test_...


# .gitignore
.env
.env.local
.env.*.local
.env.production

// env.ts
import { z } from 'zod';
import 'dotenv/config';

const envSchema = z.object({
  NODE_ENV: z.enum(['development', 'production', 'test']),
  PORT: z.coerce.number().int().default(3000),

  DATABASE_URL: z.string().url(),
  REDIS_URL: z.string().url(),

  JWT_ACCESS_SECRET: z.string().min(32),
  JWT_REFRESH_SECRET: z.string().min(32),

  STRIPE_SECRET_KEY: z.string().startsWith('sk_'),
  STRIPE_WEBHOOK_SECRET: z.string().startsWith('whsec_'),

  AWS_REGION: z.string().default('ap-northeast-2'),
  S3_BUCKET: z.string(),
});

const parsed = envSchema.safeParse(process.env);

if (!parsed.success) {
  console.error('❌ Invalid env vars:', parsed.error.flatten().fieldErrors);
  process.exit(1);
}

export const env = parsed.data;


// 사용 — 타입 안전
import { env } from '@/env';
const db = new Prisma({ datasources: { db: { url: env.DATABASE_URL } } });

# 셋업
brew install dopplerhq/cli/doppler
doppler login
doppler setup

# 로컬 실행 — 자동 환경변수 주입
doppler run -- pnpm dev

# 다른 사람이 변경한 시크릿 자동 반영
# .env 파일 공유 불필요


# CI/CD
doppler run -- pnpm test

import {
  SecretsManagerClient,
  GetSecretValueCommand,
} from '@aws-sdk/client-secrets-manager';

const client = new SecretsManagerClient({ region: 'ap-northeast-2' });

async function getSecret(name: string) {
  const cmd = new GetSecretValueCommand({ SecretId: name });
  const res = await client.send(cmd);
  return JSON.parse(res.SecretString!);
}


// 사용
const dbCreds = await getSecret('prod/db');
// { username: '...', password: '...', host: '...' }


// 자동 회전 (rotation)
// AWS 콘솔에서 30일마다 자동 회전 설정
// → 코드는 항상 최신 시크릿 사용

Vercel Dashboard → Project → Settings → Environment Variables

분류:
- Production
- Preview (PR 미리보기)
- Development (vercel dev)


암호화:
- Vercel은 자동 암호화 저장
- 빌드 시 주입
- Edge Function에서 사용 가능

주기적 회전 권장:
- DB password: 90일
- API keys: 90일~1년
- JWT secret: 1년 (또는 노출 시 즉시)


[회전 절차 - JWT secret]
1. 새 secret 발급 + 환경 변수 업데이트
2. 배포 — 새 토큰은 새 secret으로 서명
3. 그레이스 기간 — 양쪽 secret으로 검증
4. 옛 secret 제거 (모든 토큰 만료 후)

# git-secrets — commit 전 검사
git secrets --register-aws
git secrets --add 'sk_live_[A-Za-z0-9]+'
git secrets --add 'whsec_[A-Za-z0-9]+'

# pre-commit hook
.husky/pre-commit:
git secrets --scan


# truffleHog — 히스토리 검사
trufflehog git file://. --since-commit HEAD~10


# GitHub Secret Scanning
- 무료 (모든 public repo)
- AWS·Stripe·Slack 등 자동 감지
- 노출 시 즉시 revoke 알림

[즉시 - 1시간 내]
1. 해당 시크릿 즉시 revoke
2. 새 시크릿 발급
3. 모든 환경에 배포

[24시간 내]
4. 로그 확인 — 의심 활동 추적
5. 사용자 알림 (필요 시)
6. 보안팀 보고

[1주 내]
7. 사후 분석 — 노출 경로 파악
8. CI 시크릿 스캔 자동화
9. 회전 정책 강화