fix(loader-client): /env exposes server-only NANOFORGE_SERVER_* variables to the browser

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#132 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
77/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
bun, typescript
Lĩnh vực
backend, security

Hướng nghiên cứu

Bắt đầu với apps/client/src/env.ts và hàm getGameEnv của nó, sau đó kiểm tra apps/server/src/env.ts tương ứng và các bài kiểm thử đơn vị hiện có. Thêm các bài kiểm thử xác minh đầu ra môi trường phía client không chứa các giá trị NANOFORGE_SERVER_* và đầu ra phía server không chứa các giá trị NANOFORGE_CLIENT_*. Hoàn tất khi không loader nào để lộ các biến có tiền tố của phía còn lại.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

app:client app:server bug
Which app is this bug report for?

client

Issue description

Security. /env can return server-only environment variables to any browser that loads the game.

The CLI splits .env into client and server values (NANOFORGE_CLIENT_* / NANOFORGE_SERVER_*), but its runner starts the client loader with { ...process.env, ...clientEnv } (cli runner.ts#L79). So a NANOFORGE_SERVER_* variable exported in the shell or set by CI reaches the client process.

The client loader's getGameEnv keeps every NANOFORGE_* key and /env returns them all, prefix stripped. The server binds to all interfaces, so the value can be read from the local network, not only from localhost.

Reproduced on the local build with a dummy value:

$ NANOFORGE_SERVER_DB_PASSWORD=dummy bun apps/client/dist/server.js -p 39171 -d <empty dir>
$ curl localhost:39171/env
{"SERVER_DB_PASSWORD":"dummy","tlsEnabled":false}

The same happens the other way: the server loader (env.ts) receives NANOFORGE_CLIENT_*.

Expected: /env never returns NANOFORGE_SERVER_* values.

Suggested fix: in apps/client/src/env.ts, drop keys starting with NANOFORGE_SERVER_ (and in apps/server/src/env.ts, drop NANOFORGE_CLIENT_), with a unit test. A follow-up in the CLI can stop the runner from forwarding those prefixes from process.env.

Related to #87 (optional auth on the loader routes): auth would not fix this, since server-only values should never be sent to the client at all.

Found during a read-only audit of main @ 044c766 (2026-11-11).

Code sample
const PREFIX = "NANOFORGE_";

export const getGameEnv = () => {
  return Object.fromEntries(
    Object.entries(process.env)
      .filter(([key]) => key.startsWith(PREFIX)) // NANOFORGE_SERVER_* passes too
      .map(([key, value]) => [key.replace(PREFIX, ""), value]),
  );
};
Versions
  • @nanoforge-dev/loader-client / @nanoforge-dev/loader-server / @nanoforge-dev/loader-website 1.7.0 (main @ 044c766)
  • Bun 1.3.14
  • Linux x86_64
Issue priority

High (immediate attention needed)

I have tested this issue on a development release

044c766

Ngôn ngữ chính
TypeScript
Star
1
Fork
0
Merge trung bình
17 giờ 25 phút
Pull request đã merge (30 ngày)
11

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của NanoForge-dev/Loader

Tất cả issue của NanoForge-dev/Loader

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.