API Key ကို လုံခြုံစွာ စီမံအသုံးပြုနည်း

Development၊ staging နဲ့ production အတွက် key တစ်ခုတည်းမသုံးပါနဲ့။ App သို့မဟုတ် service တစ်ခုစီကို သီးခြား key ပေးထားရင် leak ဖြစ်သည့်နေရာကိုရှာဖွေရလွယ်ပြီး တစ်ခုတည်းကို revoke လုပ်နိုင်ပါတယ်။

• Environment အလိုက် key ခွဲထားသည်
• လိုအပ်သလောက် scope သာပေးထားသည်
• Owner နှင့် အသုံးပြုသည့် service ကိုမှတ်တမ်းတင်ထားသည်

Local development မှာ .env.local ကိုသုံးနိုင်ပေမယ့် file ကို Git ထဲမထည့်ပါနှင့်။ Production မှာ hosting provider ရဲ့ encrypted secret settings သို့မဟုတ် secret manager ကိုသုံးပါ။

export async function POST() {
  const apiKey = process.env.PROVIDER_API_KEY;
  if (!apiKey) {
    return Response.json({ error: "Server is not configured" }, { status: 500 });
  }

  // Call the provider from this server route.
  return Response.json({ ok: true });
}

Secret ကို console.log၊ error response၊ screenshot သို့မဟုတ် support ticket ထဲမကူးပါနဲ့။ GitHub push protection နဲ့ secret scanning ကိုဖွင့်ထားပြီး CI log မှာ variable တန်ဖိုးမပေါ်ကြောင်းစစ်ပါ။

$ git grep -n "API_KEY\|SECRET\|TOKEN"

Key leak ဖြစ်နိုင်တယ်လို့သံသယရှိတာနဲ့ commit ဖျက်ရုံမလုံလောက်ပါဘူး။ Provider မှာ key ကိုချက်ချင်း revoke လုပ်၊ key အသစ်ထုတ်၊ deployment ပြန်တင်ပြီး usage logs နဲ့ billing ကိုစစ်ပါ။