Fork dotenvy thành dotenv-ng: Cuộc cách mạng cho thư viện .env trong Rust

Nhóm phát triển SecretSpec vừa công bố dotenv-ng 1.0, một bản triển khai Rust hiện đại dành cho việc tải và hiển thị tệp .env, khởi nguồn từ việc fork dotenvy sau khi phát hiện lỗi nghiêm trọng: trình phân tích cú pháp đã thay đổi một bí mật trong quá trình đọc. Bản phát hành này đánh dấu nỗ lực đáng kể nhằm vá các lỗ hổng tồn tại từ lâu trong hệ sinh thái .env, mang lại sự ổn định và an toàn cao hơn cho các nhà phát triển.

Lý do fork dotenvy

Sự cố bắt đầu từ issue #73 của SecretSpec, khi một tệp .env chứa giá trị với các phân đoạn bcrypt:

TEST="foo:$2a$10$TWoviNHS27HJMw1PKe4tBeIMlms6tWdYS9hKoHANKCQhluDlEt/gu"

Tệp hoàn toàn nguyên vẹn, nhưng khi đọc qua dotenv provider, giá trị trả về đã bị thay đổi vì dotenvy coi các phân đoạn có tiền tố $ là biến thay thế. Lỗi này chỉ xuất hiện sau đó dưới dạng lỗi xác thực, không phải lỗi phân tích cú pháp — khiến việc phát hiện trở nên vô cùng khó khăn.

Một công cụ di chuyển không thể yêu cầu người dùng nhận biết và thoát khỏi cú pháp phân tích bên trong bí mật của họ.

Yêu cầu thượng nguồn để cấu hình hành vi thay thế đã được mở từ năm 2024, nhưng một pull request đến vào năm 2026 lại nhắm vào API chưa được phát hành. Điều này cho thấy sự bế tắc trong việc giải quyết vấn đề cấp bách.

Khoảng trống bảo trì

Crate gốc dotenv của Rust đã ngừng phát hành từ năm 2020 và được RustSec đánh dấu là không còn được bảo trì, với dotenvy được liệt kê như một giải pháp thay thế. Tuy nhiên, dotenvy — dù tự mô tả là "bản fork được bảo trì tốt" — lại có phiên bản mới nhất 0.15.7 phát hành vào tháng 3/2023, nghĩa là đã hơn ba năm không có bản cập nhật khi lỗi bcrypt chặn SecretSpec.

Điều trớ trêu đầy khó chịu là một bản fork được bảo trì lại lặp lại vấn đề phát hành của thượng nguồn. Các nhà bảo trì không nợ chúng ta một bản phát hành, nhưng SecretSpec cần các bản sửa lỗi mang tính đột phá theo lịch trình chúng ta kiểm soát.

dotenv-ng cải tiến những gì?

Thay vì chỉ vá đơn giản, nhóm phát triển đã kiểm toán toàn diện parser và phát hiện thêm nhiều vấn đề liên quan đến JSON, đường dẫn Windows, tên Unicode, độ ưu tiên và đột biến môi trường một phần. dotenv-ng bắt đầu từ dotenvy 0.15.7 nhưng cố tình phá vỡ sự tương thích ở những nơi cần thiết. Phiên bản 1.0 bổ sung:

• Trình phân tích nhận biết nguồn với lỗi có cấu trúc
• Dấu $ theo nghĩa đen mặc định, chỉ thay thế khi người gọi bật một cách tường minh
• Cú pháp key rộng hơn hỗ trợ dấu gạch ngang, chữ số đứng đầu, dấu chấm đứng đầu và Unicode
• Bộ hiển thị (renderer) chỉ thêm trích dẫn và thoát ký tự khi cần để phân tích ngược lại không đổi
• Xác thực trước khi đột biến môi trường của tiến trình
• Ranh giới unsafe tường minh xung quanh hành động đột biến

Các bài kiểm tra thuộc tính (property tests) thực hiện kiểm tra với Unicode và giá trị nặng cú pháp tùy ý, xác nhận trích dẫn chỉ được dùng khi cần, và kiểm tra khứ hồi toàn bộ tài liệu. Trình phân tích và bộ hiển thị, phần lõi của bản viết lại, đều đạt 100% phủ dòng (line coverage).

Thử dotenv-ng 1.0

Gói này đã có sẵn trên crates.io. Ứng dụng có thể giữ tên crate quen thuộc dotenv bằng cách sử dụng bí danh phụ thuộc:

[dependencies]
dotenv = { package = "dotenv-ng", version = "1" }

Bắt đầu từ SecretSpec 0.20, dotenv-ng cung cấp sức mạnh phân tích và hiển thị dotenv trong toàn bộ SecretSpec. Đây là bước đi chiến lược trong sứ mệnh của SecretSpec nhằm loại bỏ biến môi trường như một giao diện bí mật — bởi vì di chuyển khỏi .env bắt đầu bằng việc đọc nó một cách chính xác.

Việc fork dotenvy thành dotenv-ng không chỉ giải quyết một lỗi cụ thể mà còn đặt nền móng vững chắc cho tương lai của việc quản lý cấu hình trong hệ sinh thái Rust, đặc biệt quan trọng đối với các nhà phát triển Việt Nam đang xây dựng ứng dụng yêu cầu bảo mật cao như ngân hàng, tài chính và hạ tầng đám mây.