fix(loader-client): /env exposes server-only NANOFORGE_SERVER_* variables to the browser

Ouverte Adaptée aux débutants
  • Quelque chose ne va pas ?
#132 0 commentaires 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

Personne n'a encore pris cette issue.

Évaluation

Difficulté
2/5
Temps estimé
1-3 heures
Accessibilité débutants
77/100
Type d'issue
Bug
Clarté
Clairement spécifiée
Activité
Active
Stack technique
bun, typescript
Domaine
backend, security

Piste de recherche

Commencez par apps/client/src/env.ts et sa fonction getGameEnv, puis examinez le apps/server/src/env.ts correspondant et les tests unitaires existants. Ajoutez des tests qui vérifient que la sortie de l’environnement client exclut les valeurs NANOFORGE_SERVER_* et que la sortie du serveur exclut les valeurs NANOFORGE_CLIENT_*. La tâche est terminée lorsque ni l’un ni l’autre des chargeurs n’expose les variables préfixées de l’autre côté.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

app:client app:server bug
Which app is this bug report for?

client

Issue description

Security. /env can return server-only environment variables to any browser that loads the game.

The CLI splits .env into client and server values (NANOFORGE_CLIENT_* / NANOFORGE_SERVER_*), but its runner starts the client loader with { ...process.env, ...clientEnv } (cli runner.ts#L79). So a NANOFORGE_SERVER_* variable exported in the shell or set by CI reaches the client process.

The client loader's getGameEnv keeps every NANOFORGE_* key and /env returns them all, prefix stripped. The server binds to all interfaces, so the value can be read from the local network, not only from localhost.

Reproduced on the local build with a dummy value:

$ NANOFORGE_SERVER_DB_PASSWORD=dummy bun apps/client/dist/server.js -p 39171 -d <empty dir>
$ curl localhost:39171/env
{"SERVER_DB_PASSWORD":"dummy","tlsEnabled":false}

The same happens the other way: the server loader (env.ts) receives NANOFORGE_CLIENT_*.

Expected: /env never returns NANOFORGE_SERVER_* values.

Suggested fix: in apps/client/src/env.ts, drop keys starting with NANOFORGE_SERVER_ (and in apps/server/src/env.ts, drop NANOFORGE_CLIENT_), with a unit test. A follow-up in the CLI can stop the runner from forwarding those prefixes from process.env.

Related to #87 (optional auth on the loader routes): auth would not fix this, since server-only values should never be sent to the client at all.

Found during a read-only audit of main @ 044c766 (2026-11-11).

Code sample
const PREFIX = "NANOFORGE_";

export const getGameEnv = () => {
  return Object.fromEntries(
    Object.entries(process.env)
      .filter(([key]) => key.startsWith(PREFIX)) // NANOFORGE_SERVER_* passes too
      .map(([key, value]) => [key.replace(PREFIX, ""), value]),
  );
};
Versions
  • @nanoforge-dev/loader-client / @nanoforge-dev/loader-server / @nanoforge-dev/loader-website 1.7.0 (main @ 044c766)
  • Bun 1.3.14
  • Linux x86_64
Issue priority

High (immediate attention needed)

I have tested this issue on a development release

044c766

Langage dominant
TypeScript
Étoiles
1
Forks
0
Merge moyen
17 h 25 min
PR mergées (30 j)
11

Préparer son environnement

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de NanoForge-dev/Loader

Toutes les issues de NanoForge-dev/Loader

Issues similaires

Plus d'issues TypeScript

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.