Comment masquer les mots de passe .env dans la sortie Laravel Whoops ?

Question

Comment puis-je masquer mes mots de passe et autres variables d'environnement sensibles à l'écran dans la sortie whoops de Laravel?

Parfois, d'autres personnes regardent mon travail de développement. Je ne veux pas qu'ils voient ces secrets en cas d'exception, mais je ne veux pas non plus devoir basculer constamment le débogage ou créer un site dédié juste pour un aperçu rapide.

Answer 1

Dès Laravel 5.5.13, vous pouvez censurer les variables en les répertoriant sous la clé debug_blacklist dans config/app.php. Lorsqu'une exception est lancée, Whoops masquera ces valeurs avec des astérisques * pour chaque caractère.

Par exemple, en utilisant ce config/app.php

return [

    // ...

    'debug_blacklist' => [
        '_ENV' => [
            'APP_KEY',
            'DB_PASSWORD',
            'REDIS_PASSWORD',
            'MAIL_PASSWORD',
            'PUSHER_APP_KEY',
            'PUSHER_APP_SECRET',
        ],
        '_SERVER' => [
            'APP_KEY',
            'DB_PASSWORD',
            'REDIS_PASSWORD',
            'MAIL_PASSWORD',
            'PUSHER_APP_KEY',
            'PUSHER_APP_SECRET',
        ],
        '_POST' => [
            'password',
        ],
    ],
];

Résulte en cette sortie:

Answer 2

Tout d'abord, j'adore la solution de Jeff ci-dessus.

Ensuite, si comme moi vous voulez masquer toutes les variables d'environnement tout en utilisant toujours whoops, voici une solution:

'debug_blacklist' => [
        '_COOKIE' => array_keys($_COOKIE),
        '_SERVER' => array_keys($_SERVER),
        '_ENV' => array_keys($_ENV),        
    ],

Sortie:

MODIFIER: La légende raconte qu'à partir de Laravel 7x, vous auriez besoin de la clé debug_hide à la place

Answer 3

Merci Jeff et Raheel pour votre aide, mais je viens de trouver un petit piège :

Même si je supprime toutes les clés d'environnement de _ENV, les mêmes clés sont TOUJOURS exposées à travers les variables _SERVER listées.

Ajouter le code ci-dessous dans config/app.php masquerait toutes les variables d'environnement de la page whoops :

'debug_blacklist' => [
        '_SERVER' => array_keys($_ENV),
        '_ENV' => array_keys($_ENV),        
],

Answer 4

J'ai créé un package pour résoudre ce problème.

Il suffit de l'installer en utilisant

composer require glaivepro/hidevara

La plupart des variables serveur et toutes les variables d'environnement seront supprimées. Tous les champs ressemblant à des mots de passe dans $_POST auront leurs valeurs masquées.

Vous pouvez également le personnaliser en utilisant l'approche de liste noire ou liste blanche pour afficher/obscurcir/supprimer les champs à votre guise.

Answer 5

La solution de @jeff + @raheel est géniale !!! Sur un projet récent, nous avons constaté que nous voulions parfois autoriser une ou deux propriétés, donc en nous basant sur ce qui précède, vous pouvez autoriser des propriétés spécifiques que vous voulez déboguer avec quelque chose comme :

'debug_blacklist' => [
    '_COOKIE' => array_diff(array_keys($_COOKIE), array()),
    '_SERVER' => array_diff(array_keys($_SERVER), array('APP_URL', 'QUERY_STRING')),
    '_ENV' => array_diff(array_keys($_ENV), array()),
],

Si vous souhaitez que cette liste puisse être configurée via .env, vous pouvez faire quelque chose comme :

'debug_blacklist' => [
    '_COOKIE' => array_diff(
        array_keys($_COOKIE),
        explode(",", env('DEBUG_COOKIE_WHITELIST', ""))
    ),
    '_SERVER' => array_diff(
        array_keys($_SERVER),
        explode(",", env('DEBUG_SERVER_WHITELIST', ""))
    ),
    '_ENV' => array_diff(
        array_keys($_ENV),
        explode(",", env('DEBUG_ENV_WHITELIST', ""))
    ),
],

Ensuite, dans votre .env, faites quelque chose comme :

DEBUG_SERVER_WHITELIST="APP_URL,QUERY_STRING"

Santé!