Использование пакета symfony / dotenv в продакшене
Документация ссылается на принципы Двенадцать факторов, объясняющие, почему конфиденциальную конфигурацию не следует хранить в файлах, однако это имеет смысл в основном для SaaS. Интересно, безопасно ли использовать пакет symfony / dotenv в программном обеспечении, которое пользователи развертывают в своих системах.
Ответы 1
Мы используем файл .env для производственных сервисов в нашей компании, и при профилировании выполнения кода не так много накладных расходов. Хотя это нормально в нашей среде, это может быть не так в вашей.
Я уверен, что он достаточно безопасен, чтобы использовать компонент dotenv для загрузки переменных из файла .env, поскольку он не предоставляет никакого интерфейса для взаимодействия с самим собой.
Мы также храним в этом файле переменные среды, специфичные для докеров, так что в конечном итоге это похоже на старый файл конфигурации parameters.yaml для всего проекта.
С точки зрения безопасности это не проблема. Есть немного дополнительных накладных расходов, поскольку файл .env будет загружаться и анализироваться при каждом запросе. Наверное, недостаточно, чтобы его заметили.