APIキー漏えい防止の定番 .envとpython-dotenvの使い方

pip install python-dotenv

# これはコメントです
API_KEY="sk-example-xxxxxxxx"
DEBUG=true
PORT=8080
TIMEOUT_SECONDS=5
# カンマ区切りの列挙
ALLOWED_ORIGINS="https://example.com,https://api.example.com"
# 改行を含む秘密鍵は \n を使って表現するのが安全
PRIVATE_KEY="-----BEGIN KEY-----\nABCDEF...\n-----END KEY-----"

# 環境変数ファイルはコミット禁止
.env
.env.*.local

# 各自ここを自分の値で埋めて .env にコピー
API_KEY=""
DEBUG=false
PORT=8000
TIMEOUT_SECONDS=5
ALLOWED_ORIGINS=""
PRIVATE_KEY=""

# app_basic.py
from dotenv import load_dotenv
import os

# .env を探して読み込む(既存の環境変数は保持)
load_dotenv()

# 例: API_KEY を取り出して使う
api_key = os.getenv("API_KEY")

print("API_KEY is set:", bool(api_key))

API_KEY is set: True

# app_getenv.py
from dotenv import load_dotenv
import os

load_dotenv()

print("API_KEY:", os.getenv("API_KEY"))       # 文字列 or None
print("DEBUG:", os.getenv("DEBUG"))           # "true" など (文字列)
print("PORT:", os.getenv("PORT"))             # "8080" など (文字列)

# app_defaults.py
from dotenv import load_dotenv
import os
from typing import Optional

load_dotenv()

def require_env(name: str) -> str:
    """必須の環境変数を取り出す。未設定なら例外を送出。"""
    value = os.getenv(name)
    if not value:
        raise RuntimeError(f"Required environment variable '{name}' is missing")
    return value

def get_env(name: str, default: Optional[str] = None) -> str:
    """任意の環境変数を取り出す。未設定ならデフォルトを返す。"""
    value = os.getenv(name)
    return value if value is not None else default

api_key = require_env("API_KEY")
timeout = int(get_env("TIMEOUT_SECONDS", "5"))  # 文字列→整数に変換

print("API key length:", len(api_key))
print("Timeout seconds:", timeout)

# app_casting.py
from dotenv import load_dotenv
import os

load_dotenv()

def to_bool(value: str, default: bool = False) -> bool:
    """true/false, 1/0, yes/no, on/off を扱う簡易変換"""
    if value is None:
        return default
    return value.strip().lower() in ("1", "true", "yes", "on")

def get_int(name: str, default: int) -> int:
    v = os.getenv(name)
    try:
        return int(v) if v is not None else default
    except ValueError:
        # 値が不正ならデフォルトにフォールバック
        return default

debug = to_bool(os.getenv("DEBUG"), default=False)
port = get_int("PORT", 8000)

print("Debug mode:", debug)
print("Port:", port)

# app_layers.py
from dotenv import load_dotenv
from pathlib import Path

# まず共通設定
load_dotenv(dotenv_path=Path(".") / ".env")

# 環境固有(ローカルの上書き設定)
# override=True で既存値を上書き可能にする
load_dotenv(dotenv_path=Path(".") / ".env.local", override=True)

# In[1]: Jupyter の最初のセル
from dotenv import load_dotenv
load_dotenv()  # .env を読み込む

# In[2]: 値の確認
import os
print("API_KEY exists:", os.getenv("API_KEY") is not None)

// .vscode/settings.json
{
  "python.envFile": "${workspaceFolder}/.env"
}

// .vscode/launch.json
{
  "version": "0.2.0",
  "configurations": [
    {
      "name": "Python: Current File",
      "type": "python",
      "request": "launch",
      "program": "${file}",
      "envFile": "${workspaceFolder}/.env"
    }
  ]
}

# .github/workflows/ci.yml
name: CI
on: [push]

jobs:
  test:
    runs-on: ubuntu-latest
    env:
      OPENAI_API_KEY: ${{ secrets.OPENAI_API_KEY }}  # リポジトリ/Org Secrets
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.11"
      - run: pip install -r requirements.txt
      - run: pytest -q

# logging_redact.py
from dotenv import load_dotenv
import os

load_dotenv()

def mask(secret: str, keep: int = 4) -> str:
    if not secret:
        return "(none)"
    s = str(secret)
    return "*" * max(0, len(s) - keep) + s[-keep:]

api_key = os.getenv("API_KEY")
print("Using API key:", mask(api_key))  # 末尾4桁だけ見せる

# 例: 特定の文字列を履歴から置換(機密値は secrets.txt に記載)
# secrets.txt のフォーマット: 'oldsecret==>REDACTED'
git filter-repo --replace-text secrets.txt
git push --force

from dotenv import load_dotenv
load_dotenv(encoding="utf-8")