Tajemství

Projekt Restorm je udělaný proto, aby se commitoval. Tajemství do něj naopak nikdy vstupovat nesmí. Typ hodnoty Tajný klíč tuto potřebu řeší: proměnná ukládá odkaz na zdroj, nikdy samotnou hodnotu.

Jak to funguje

Zvolte u proměnné typ Tajný klíč a poté zdroj. Soubor projektu pak obsahuje jen identifikátor zdroje a jeho parametry. Hodnota se vyhodnotí v hlavním procesu, v okamžiku běhu.

Dvě proměnné prostředí typu Tajný klíč (petstore_auth_token, api_key): buňka nese značku $= a tlačítka obnovit, upravit načtení a zamknout — vedle proměnné typu řetězec

Co typ Tajný klíč chrání

Tajemství zůstává z aplikace přístupné: editor prostředí, náhledy vyhodnocené hodnoty, interní konzole i ukázky kódu jeho hodnotu zobrazují. Je to vaše vlastní tajemství, které už znáte — typ Tajný klíč se je před vámi nesnaží skrývat.

Zaručuje ale, že hodnota:

nikdy neskončí v souborech, které opustí váš počítač — nezapisuje se do projektu .restorm, takže se ani necommituje, ani neodesílá do repozitáře, ani se nepřenáší v exportu;
se nepředává neoprávněné službě třetí strany — odchozí cíle procházejí firewallem.

Dostupné zdroje

Proměnná prostředí systému (`envVar`)

Čte proměnnou prostředí operačního systému. Jediný parametr: název proměnné.

To je zdroj, kterému dát přednost v průběžné integraci: tajemství vkládá trezor vaší CI a Restorm ho jen čte.

export API_TOKEN="…"
restorm --open projet.restorm --run "Tests" --headless

Soubor s tajemstvími (`envFileSecret`)

Čte — a zapisuje — soubor restorm.env umístěný vedle projektu. To je lokální režim: soubor zůstává na vašem počítači a přidává se do .gitignore.

Na rozdíl od předchozího zdroje je tento zapisovatelný: hodnotu můžete zadat z aplikace Restorm a uloží se do souboru s tajemstvími, nikoli do projektu.

Obnovení tajemství

Vyhodnocené hodnoty se ukládají do mezipaměti. Po změně tajemství zvenčí (rotace tokenu, úprava souboru .env) použijte Obnovit prostředí, čímž mezipaměť vyprázdníte a všechny zdroje se přečtou znovu.

Co se očišťuje

Restorm očišťuje tajemství z toho, co zapisuje na disk:

tokeny vytvořené ověřovacím požadavkem se očišťují v historii odpovědí, a to včetně těla a hlaviček;
očišťují se i aplikační logy.

Nástroje MCP naproti tomu dostávají vyhodnocenou hodnotu, stejně jako zbytek aplikace: agent řídí Restorm vaším jménem a s vašimi vlastními tajemstvími. Výše uvedené záruky zůstávají beze změny — hodnota se nezapisuje ani do projektu, ani do exportu a neodchází k neoprávněné službě třetí strany.

Doporučené postupy

Do souboru .gitignore přidejte restorm.env a *.responses.zip.
V CI použijte envVar místo souboru s tajemstvími.
Heslo nativního protokolu (MQTT, AMQP, Redis, Kafka) také přijímá hodnotu typu Tajný klíč — nepište tato hesla do požadavku v čitelné podobě.