リリース前に、書き出した Expo バンドルの中から自分の鍵を探してみる

EXPO_PUBLIC_API_BASE=https://api.example.com
EXPO_PUBLIC_OPENAI_KEY=sk-proj-DUMMY0123456789abcdefABCDEF0123456789
SERVER_ONLY_TOKEN=whsec_DUMMYSERVERONLY0123456789

npx expo export --platform android --output-dir dist

grep -a -o -E 'sk-[A-Za-z0-9_-]{20,}' dist/_expo/static/js/android/*.hbc

sk-proj-DUMMY0123456789abcdefABCDEF0123456789Invalid

// scan-bundle.mjs — 書き出した Expo バンドルに「秘密に見える文字列」と「.env の値」が残っていないかを調べる
// 使い方: node scan-bundle.mjs <exportしたフォルダ> [.envのパス] [--allow=公開してよい変数名,…]
import { readFileSync, readdirSync, statSync, existsSync } from 'node:fs';
import { join, extname } from 'node:path';
 
const args = process.argv.slice(2);
const allowArg = args.find((a) => a.startsWith('--allow='));
const allow = new Set((allowArg ?? '').replace('--allow=', '').split(',').filter(Boolean));
const [dir, envPath = '.env'] = args.filter((a) => !a.startsWith('--'));
if (!dir || !existsSync(dir)) {
  console.error('使い方: node scan-bundle.mjs <exportフォルダ> [.env]');
  process.exit(2);
}
 
// 1) 形で探す: よくある鍵の書式（誤検出は許容。見つかったら人間が判断する）
const SHAPES = [
  ['OpenAI 系', /sk-(?:proj-)?[A-Za-z0-9_-]{20,}/g],
  ['Google API キー', /AIza[0-9A-Za-z_-]{35}/g],
  ['Stripe シークレット', /sk_(?:live|test)_[0-9A-Za-z]{16,}/g],
  ['Webhook 署名鍵', /whsec_[0-9A-Za-z]{16,}/g],
  ['AWS アクセスキー', /AKIA[0-9A-Z]{16}/g],
  ['JWT らしき文字列', /eyJ[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}/g],
];
 
// 2) 値で探す: .env の各値がバンドルの中にそのまま入っているか
const envValues = existsSync(envPath)
  ? readFileSync(envPath, 'utf8').split('\n')
      .map((l) => l.match(/^\s*([A-Z0-9_]+)\s*=\s*(.+?)\s*$/))
      .filter(Boolean)
      .map(([, k, v]) => [k, v.replace(/^["']|["']$/g, '')])
      .filter(([k, v]) => v.length >= 8 && !allow.has(k))
  : [];
 
const mask = (s) => (s.length <= 10 ? '***' : s.slice(0, 6) + '…' + s.slice(-2));
 
function* walk(d) {
  for (const n of readdirSync(d)) {
    const p = join(d, n);
    statSync(p).isDirectory() ? yield* walk(p) : yield p;
  }
}
 
let hits = 0;
for (const f of walk(dir)) {
  if (!['.hbc', '.js', '.map', '.bundle'].includes(extname(f))) continue;
  const text = readFileSync(f).toString('latin1'); // Hermes はバイトコードでも文字列は素のまま入る
  for (const [label, re] of SHAPES) {
    for (const m of text.matchAll(re)) {
      hits++;
      console.log(`SHAPE  ${label.padEnd(16)} ${mask(m[0])}  @${m.index}  ${f}`);
    }
  }
  for (const [k, v] of envValues) {
    const i = text.indexOf(v);
    if (i >= 0) {
      hits++;
      console.log(`VALUE  ${k.padEnd(28)} ${mask(v)}  @${i}  ${f}`);
    }
  }
}
console.log(hits ? `\n${hits} 件。許可していない名前が VALUE で出たら要調査。` : '\n0 件');
process.exit(hits ? 1 : 0);

node scan-bundle.mjs dist .env

SHAPE  OpenAI 系         sk-pro…89  @131303  …/index-….hbc
SHAPE  Google API キー    AIzaSy…qr  @140062  …/index-….hbc
VALUE  EXPO_PUBLIC_API_BASE         https:…om  @150635  …/index-….hbc
VALUE  EXPO_PUBLIC_OPENAI_KEY       sk-pro…89  @131303  …/index-….hbc
 
4 件。許可していない名前が VALUE で出たら要調査。

import { Text, View } from 'react-native';
 
const API_BASE = process.env.EXPO_PUBLIC_API_BASE;
 
async function ask(kind) {
  // 鍵はサーバー側。アプリは「何をしたいか」の選択肢だけを送る
  const res = await fetch(`${API_BASE}/generate`, {
    method: 'POST',
    headers: { 'content-type': 'application/json' },
    body: JSON.stringify({ kind }),
  });
  return res.json();
}
 
export default function App() {
  return (
    <View style={{ flex: 1, justifyContent: 'center' }}>
      <Text onPress={() => ask('icon')}>{API_BASE}</Text>
    </View>
  );
}

rm -rf dist && npx expo export --platform android --output-dir dist
node scan-bundle.mjs dist .env --allow=EXPO_PUBLIC_API_BASE
# → 0 件（終了コード 0）