encore-secret

Encore Secrets

手順

シークレットは、Encore によって管理される暗号化された環境スコープの値です。パッケージレベルで secret(name) を呼び出して宣言し、返された関数を呼び出して読み取ります。

import { secret } from "encore.dev/config";

// Package-level declaration
const stripeKey = secret("StripeSecretKey");

// Read inside a handler
async function chargeCustomer() {
  const key = stripeKey();        // <-- function call returns the value
  const stripe = new Stripe(key);
  // ...
}

シークレット名はアプリケーション全体でグローバルに一意です（同じ名前はどこでも同じ値に解決されます）。

値の設定

# Set per environment type
encore secret set --type prod StripeSecretKey
encore secret set --type dev StripeSecretKey
encore secret set --type local StripeSecretKey

環境タイプ: production（エイリアス prod）、development（エイリアス dev）、preview（エイリアス pr）、local。

ローカル上書き

encore secret set を経由せずにローカル開発を行うには、リポジトリのルートに .secrets.local.cue ファイルを作成します（gitignore に追加してください）:

StripeSecretKey: "sk_test_local_..."
GitHubAPIToken:  "ghp_local_..."

一般的な使用パターン

// HTTP headers
const githubToken = secret("GitHubAPIToken");
const resp = await fetch("https://api.github.com/user", {
  headers: { Authorization: `token ${githubToken()}` },
});

// Webhook signature verification
const stripeWebhookSecret = secret("StripeWebhookSecret");
stripe.webhooks.constructEvent(rawBody, sig, stripeWebhookSecret());

// Connecting to a third-party SDK
const openaiKey = secret("OpenAIKey");
const openai = new OpenAI({ apiKey: openaiKey() });

ガイドライン

• secret(...) は常にパッケージレベルで宣言し、関数の内部では決して宣言しないでください。
• 読み取りは関数呼び出しで行います: stripeKey() であり、stripeKey ではありません。
• encore secret set --type <env> を使用して、環境ごとに異なる値を設定してください。
• シークレットの値を決してコミットしないでください。ローカル上書きには .secrets.local.cue を使用し、gitignore に追加してください。
• 特に webhook 署名シークレットについては、encore-webhook スキルも参照してください。