在Next.js应用运行时将文件内容加载为环境变量

一、代码放置位置：区分服务端与客户端 #

首先要明确：浏览器端（客户端）无法直接读取Pod挂载的文件系统，只能通过服务端传递非敏感配置；而服务端中间件（Node.js环境）可以直接读取挂载文件。

1. 服务端中间件/Node.js服务场景 #

把密钥加载逻辑放在应用启动的最早期，确保所有后续代码（路由、中间件）启动前就能访问到这些变量：

• 自定义Express服务器示例：

  const fs = require('fs');
  const path = require('path');
  const express = require('express');
  
  // 先加载密钥文件
  const secretVars = readFiles('/path/to/your/mounted/secrets');
  // 合并到process.env
  Object.assign(process.env, secretVars);
  
  // 再启动服务
  const app = express();
  // 注册中间件、路由等
  app.get('/api/protected', (req, res) => {
    // 可以直接用process.env.YOUR_SECRET_KEY
    res.send('Authorized');
  });
  
  app.listen(3000, () => {
    console.log('Server started');
  });
  

• 框架场景（如Next.js）：
  用自定义server.js启动服务，在创建NextApp之前加载密钥；或者在middleware.ts中缓存加载结果（避免每次请求重复读文件）：

  // middleware.ts
  import { NextResponse } from 'next/server';
  import type { NextRequest } from 'next/server';
  const fs = require('fs');
  const path = require('path');
  
  // 缓存密钥，只加载一次
  let secrets: Record<string, string> | null = null;
  function loadSecrets() {
    if (!secrets) {
      secrets = readFiles('/path/to/mounted/secrets');
      Object.assign(process.env, secrets);
    }
  }
  
  export function middleware(request: NextRequest) {
    loadSecrets();
    // 后续逻辑可以访问process.env中的密钥
    return NextResponse.next();
  }
  

2. 客户端前端场景 #

客户端无法直接读取Pod文件，若需要非敏感配置，可通过以下方式注入：

• 服务端渲染时注入全局变量：
  在服务端生成的HTML模板中添加：

  <script>
    // 仅注入非敏感配置，绝对不要放密钥！
    window.__APP_CONFIG__ = <%= JSON.stringify({ API_URL: process.env.API_URL }) %>;
  </script>
  

  客户端代码通过window.__APP_CONFIG__访问配置。
• 框架内置的环境变量机制：
  如Next.js的NEXT_PUBLIC_*前缀变量，可在服务端运行时加载后赋值给process.env.NEXT_PUBLIC_*，框架会自动把这些变量注入客户端代码，但同样禁止注入敏感密钥。

二、process.env是否适合存储密钥？ #

服务端环境：完全适合 #

• process.env是Node.js进程的全局环境变量，仅在Pod内部的Node.js进程中可见，外部无法直接访问；
• 只要确保挂载的密钥文件权限正确（如仅允许运行应用的用户读取），安全性有保障；
• 符合后端Python服务用os.environ存储密钥的一致性逻辑。

客户端环境：绝对禁止存储敏感密钥 #

• 客户端代码会被下载到用户浏览器，所有暴露的变量都会被用户查看；
• 敏感密钥必须留在服务端，客户端通过调用服务端接口间接使用密钥功能。

优化后的密钥读取函数 #

原函数可以添加更健壮的错误处理，避免单个文件读取失败导致整个加载流程中断：

function readFiles(dir) {
  const vars = {};
  try {
    if (!fs.existsSync(dir)) {
      console.error(`Failed to load files in directory: ${dir}`);
      return vars;
    }

    const fileNames = fs.readdirSync(dir);
    if (!fileNames.length) {
      console.warn(`No files found in directory: ${dir}`);
      return vars;
    }
    
    for (const filename of fileNames) {
      const name = path.parse(filename).name;
      const filepath = path.resolve(dir, filename);
      let stat;
      try {
        stat = fs.statSync(filepath);
      } catch (err) {
        console.error(`Failed to get stats for file ${name}:`, err.message);
        continue;
      }

      if (!stat.isFile()) continue;

      let data;
      try {
        data = fs.readFileSync(filepath);
      } catch (err) {
        console.error(`Failed to read file ${name}:`, err.message);
        continue;
      }

      const content = data.toString('utf8');
      vars[name] = content;
    }
  } catch (err) {
    console.error(`Unexpected error loading secrets:`, err.message);
  }
  return vars;
}

内容的提问来源于stack exchange，提问作者Rimon