Секрети й .env: безпека PHP на прикладах

01 · ЩО ЦЕ

Де секрети живуть і як вони витікають

Laravel читає .env на старті через phpdotenv, файли в config/ беруть звідти значення через env(), а код читає config('services.stripe.secret'). Перший спосіб втратити все: вебсервер дивиться не в public/, а в корінь проєкту. Тоді GET /.env віддає файл цілком, а /.git/config підказує, що можна витягти й історію. У Laravel веб-корінь лише public/, і в ньому немає нічого секретного.

шифрує все, що Laravel шифрує: cookies, Crypt, касти encrypted, і підписує посилання URL::signedRoute. З ним можна розшифрувати й підробити cookie чи підписане посилання. Паролів він не стосується: їх хешує bcrypt. Звичайна заміна ключа розлогінить усіх і зробить зашифровані колонки нечитабельними, тому ротують через : новий ключ шифрує, старі ще розшифровують, поки дані не перешифровано.

СЛОВНИКAPP_KEY. Ключ застосунку Laravel: 32 випадкові байти в base64. Ним шифрують cookies, Crypt і касти encrypted, ним підписують signed URL. Генерується php artisan key:generate.

СЛОВНИКAPP_PREVIOUS_KEYS. Список старих ключів через кому. Encrypter пробує їх, коли поточний ключ не підходить, а signed URL перевіряються і ними. Дає змінити APP_KEY без масового розлогіну.

Після php artisan Laravel бере конфігурацію з bootstrap/cache/config.php і .env не читає. env() поза config/ тоді повертає null для всього, що було лише в .env, і код тихо працює без ключа. Правило просте: env() тільки у файлах config/, усюди інше config(). Сам кешований файл містить усі секрети відкритим текстом, тож він живе там, де .env, і в git не потрапляє.

СЛОВНИКconfig:cache. Команда, що збирає всі файли config/ в один PHP-масив у bootstrap/cache/config.php. Прискорює кожен запит, але після неї .env не завантажується.

Секрет витікає і там, де його ніхто не друкував навмисно. =true на продакшені показує сторінку помилки з кодом, заголовками запиту разом із cookies, тілом запиту як є, включно з паролем, і SQL з підставленими значеннями. Log::info(..., $request->all()) пише паролі й токени в лог, а помилка HTTP-клієнта несе URL разом з ?api_key=. Атрибут з PHP 8.2 ховає значення аргументу в стек-трейсі.

СЛОВНИКAPP_DEBUG. Режим налагодження. true показує детальну сторінку винятку з кодом і даними запиту, false лише загальну сторінку 500. На продакшені завжди false.

СЛОВНИК#[\SensitiveParameter]. Атрибут параметра з PHP 8.2. У стек-трейсі винятку значення такого аргументу замінюється обʼєктом SensitiveParameterValue, тож пароль не потрапить у лог чи на сторінку помилки.

Секрет, який потрапив у git, лишається в історії, клонах, форках і кешах CI. Видалити коміт мало: ключ треба спершу відкликати чи змінити в провайдера, а вже потім чистити історію через git filter-repo. Щоб такого не було, ставлять сканер секретів: gitleaks у CI чи push protection на GitHub, а секрети деплою зберігають у secrets CI. Laravel ще вміє : php artisan env:encrypt створює .env.encrypted, який можна комітити, а ключ до нього лежить лише на сервері.

СЛОВНИКenv:encrypt. Команда Laravel, що шифрує .env (за замовчуванням AES-256-CBC) у .env.encrypted і друкує ключ. На сервері файл розшифровує env:decrypt з --key або змінною LARAVEL_ENV_ENCRYPTION_KEY.

02 · ЯК ДУМАЄ АТАКУВАЛЬНИК

Три кроки від коміту до чужого рахунку

ДІАГРАМА · УСЯ СХЕМА

Уся схема. Натисніть → або виберіть крок нижче, щоб пройти по ній частинами.

Клієнт Ключовий учасник Інфраструктура

Розробник створює .env.
.env використовує Історія git (push).
Дані йдуть від Історія git до Сканер секретів.
Сканер секретів надсилає подію ваш ключ, її отримує API провайдера.

03 · ВРАЗЛИВИЙ І ЗАХИЩЕНИЙ КОД

Секрет з оточення, у трейсі й у лозі його немає

PHP 8.5

1<?php

3// Було: ключ прямо в коді, отже вже в історії git.

4$apiKey = 'prod-key-123';

6function connect(string $user, string $password): void

8 throw new RuntimeException('Не вдалося підключитися до бази');

11// Увесь запит з паролем іде в лог, а пароль бази в стек-трейс.

12error_log(json_encode($_POST));

13connect('app', getenv('DB_PASSWORD'));

1<?php

31// Значення для прикладу. У застосунку воно приходить з оточення: getenv() чи config().

4$password = 'db-pass-123';

6// php.ini для продакшену прибирає аргументи з трейсу зовсім. Тут вмикаємо їх, щоб було видно різницю.

7ini_set('zend.exception_ignore_args', '0');

9function plain(string $user, string $password): void

10{

11 throw new RuntimeException('Не вдалося підключитися до бази');

12}

142function connect(string $user, #[\SensitiveParameter] string $password): void

15{

16 throw new RuntimeException('Не вдалося підключитися до бази');

17}

193foreach (['plain', 'connect'] as $function) {

20 try {

21 $function('app', $password);

22 } catch (RuntimeException $e) {

23 $leaks = str_contains($e->getTraceAsString(), $password);

24 echo $function, '(): пароль у стек-трейсі ', $leaks ? 'є' : 'немає', "\n";

25 }

26}

284function redact(array $context): array

29{

30 foreach ($context as $key => $value) {

31 if (is_array($value)) {

32 $context[$key] = redact($value);

33 } elseif (preg_match('/pass|token|secret|authorization/i', (string) $key) === 1) {

34 $context[$key] = '[приховано]';

35 }

36 }

38 return $context;

39}

41$request = ['email' => 'olena@example.com', 'password' => 'hunter2', 'headers' => ['Authorization' => 'Bearer abc']];

42echo 'У лог: ', json_encode(redact($request), JSON_UNESCAPED_UNICODE), "\n";

Перший запуск завантажить рушій PHP 8.5, приблизно 3,8 МБ Відкрити в пісочниці ↗

ВИВІД

Завантажуємо рушій PHP 8.5

Лише перший раз. Далі код запускається миттєво, рушій лишається в кеші браузера.

$ php main.php ▍

1 рядки 3–7
Справжнє значення живе в .env на сервері чи в secrets CI і в git не потрапляє. zend.exception_ignore_args = On у php.ini для продакшену теж ховає аргументи, але покладатися лише на конфігурацію сервера не варто.
2 рядки 14–17
#[\SensitiveParameter] з PHP 8.2: у стек-трейсі замість значення буде Object(SensitiveParameterValue). Звичайна функція plain() показує пароль відкритим текстом.
3 рядки 19–26
Порівнюємо дві функції з однаковим кодом. Стек-трейс потрапляє в лог і на сторінку помилки, тож різниця тут саме та, що побачить чужа людина.
4 рядки 28–39
Контекст для логу проходить через фільтр за назвами ключів, включно з вкладеними масивами. У Laravel простіше не класти зайве: $request->except('password') або only() з потрібними полями.
Наведіть на пояснення, щоб підсвітити рядки.Торкніться пояснення, щоб підсвітити рядки.

04 · ПАСТКИ ФРЕЙМВОРКУ

Laravel і Symfony бережуть секрети, крім цих місць

LARAVEL · ENV()

$key = env('STRIPE_SECRET');

Чому це дірка: Після config:cache .env не читається, і env() поза config/ поверне null. Код не впаде, а піде до API без ключа. Читайте config('services.stripe.secret'), а env() лишайте файлам config/.

LARAVEL · APP_DEBUG

APP_DEBUG=true

Чому це дірка: На продакшені сторінка помилки покаже заголовки запиту з cookies, тіло запиту як є, включно з полем password, і SQL зі значеннями. Тримайте APP_DEBUG=false і дивіться помилки в логах.

NGINX · ВЕБ-КОРІНЬ

root /var/www/app;

Чому це дірка: Вебсервер дивиться в корінь проєкту, і /.env та /.git/config віддаються як файли. Коренем має бути /var/www/app/public.

GIT

git rm --cached .env && git commit

Чому це дірка: Файл зник з наступних комітів, але лишився в попередніх і в кожному клоні. Спершу відкличте й замініть кожен ключ, потім чистіть історію і додайте .env у .gitignore.

LARAVEL · APP_KEY

php artisan key:generate --force

Чому це дірка: Новий ключ без APP_PREVIOUS_KEYS розлогінить усіх, зламає підписані посилання й зробить касти encrypted нечитабельними. Старий ключ спершу переносять у APP_PREVIOUS_KEYS.

LARAVEL · LOG

Log::info('login', $request->all());

Чому це дірка: У лог іде пароль відкритим текстом, а логи читає більше людей і сервісів, ніж базу. Логуйте лише потрібні поля: $request->only('email').

GITHUB ACTIONS

run: echo "${{ secrets.DEPLOY_KEY }}" | base64

Чому це дірка: GitHub маскує в логах лише точне значення секрету. Закодоване чи розрізане воно друкується як є. Не виводьте секрети взагалі, навіть для налагодження.

SYMFONY · SECRETS

php bin/console secrets:set STRIPE_SECRET

Чому це дірка: Сховище секретів Symfony шифрує значення в config/secrets/prod, і цю теку можна комітити. Файл prod.decrypt.private.php комітити не можна: з ним розшифрується все.

05 · ЗНАЙДИ ПРОБЛЕМУ