プレビュー環境経由でenv漏れる可能性あるで

Last updated at 2025-05-11Posted at 2025-05-11

最近やらかしそうになったんでメモ。

ワイの webアプリ（うんｊ）は .env でいろいろ設定しとるんやけど、これな、
悪意あるプルリクで vite.config.ts に process.env を仕込まれたら、ビルドログから中身全部漏れる って話や。

前提
「フロントに流出したら困るようなenvを埋め込むな」って指摘はもっともや
ただ、今回のケースは静的サイトを二重三重に難読化した上でフロントに流出したら困るようなenvを埋め込んだケースな
「そんなケースねーよハゲ」って感想ならブラウザバックしてクレメンス

特に問題なんは、以下のホスティングサービスの仕様：

どれもデフォルトで「プルリクごとにプレビュー環境作る」設定になってる。
で、そこのビルドログが普通に見れるようになっとるんや。つまり env 丸見えになる。

被害の例

とにかく 「プルリクからプレビュー環境を自動生成させない」設定に変える ことや。

GitHub を public にしとるなら特に危ないで。
デフォルトのままやと普通に漏れるんで絶対確認しといたほうがええ。

一応「ダッシュボードから値が見えないenv type」ってのもあるけど、正直それだけじゃ不十分。
viteはビルド時に平文展開するんで、PR経由でコードに仕込まれたら防ぎようがない。