如何在Firebase Studio中安全使用环境变量？dev.nix配置问题

DevOps 小满

2026-6-12

解决dev.nix中敏感密钥的安全问题

核心结论：不要将dev.nix加入.gitignore

dev.nix是工作区的核心环境配置文件，团队成员需要共享这份配置来保持开发环境一致，因此应该保留在Git仓库中，只需移除其中的硬编码敏感值即可。

正确从.env加载敏感密钥的步骤

修改dev.nix中的env配置
将硬编码的SINGERTOKEN = "test"改为引用环境变量的形式，让工作区优先读取外部环境中的对应值：
```
env = {
  SINGERTOKEN = "$SINGERTOKEN"; # 不再硬编码，引用外部环境变量
};
```

确保工作区启动时加载.env文件
在onStart钩子中添加加载.env的步骤，让环境变量在执行后续命令前生效：

workspace = {
  onStart = {
    load-env = "if [ -f .env ]; then source .env; fi"; # 加载本地.env文件
    install-dependencies = "pnpm install";
    run-devserver = "pnpm run dev";
  };
};

保护.env文件
在项目根目录的.gitignore中添加.env，确保敏感信息不会被提交到仓库：
```
.env
```

额外优化：预览服务的环境变量配置

如果后续启用预览服务，确保previews中的env也是引用环境变量，而非硬编码：

previews = {
  enable = true;
  previews = {
    web = {
      command = ["pnpm" "run" "dev"];
      manager = "web";
      env = {
        PORT = "$PORT";
        SINGERTOKEN = "$SINGERTOKEN"; # 同样引用外部变量
      };
    };
  };
};