EAS の secret は「アプリに入れない」設定ではありません — 接頭辞と可視性を別々に決める

// 置き換えが起きなかったとき、これは文字列 "undefined" ではなく
// undefined そのものになります。空文字と混同しないよう気をつけます
const key = process.env.EXPO_PUBLIC_ANALYTICS_KEY;
 
// よくある書き方。ここでは何も起きず、送信先だけが静かに壊れます
analytics.configure({ apiKey: key });

#!/usr/bin/env bash
# ship-check.sh — 出荷前に「実際に何が埋まったか」を確かめます
# 使い方: ./ship-check.sh "sk_test_" "api.internal.example.com"
set -euo pipefail
 
OUT_DIR="dist"
rm -rf "$OUT_DIR"
npx expo export --platform ios --output-dir "$OUT_DIR" >/dev/null
 
FOUND=0
for NEEDLE in "$@"; do
  # テキストのバンドルと、Hermes バイトコードの両方を見ます
  HITS=$(grep -rl --binary-files=text -F "$NEEDLE" "$OUT_DIR" 2>/dev/null || true)
  if [ -n "$HITS" ]; then
    echo "❌ 成果物に含まれています: $NEEDLE"
    echo "$HITS" | sed 's/^/   /'
    FOUND=1
  else
    echo "✅ 見つかりません: $NEEDLE"
  fi
done
 
exit "$FOUND"

# --json は --non-interactive を含みます。sensitive の値も名前と可視性だけ見たいので、
# ここでは値そのものは取り出しません
eas env:list --environment production --json > env-production.json

// audit-env.js — 接頭辞と可視性の食い違いを見つけます
// 実行: node audit-env.js env-production.json
const fs = require('fs');
 
const raw = JSON.parse(fs.readFileSync(process.argv[2], 'utf8'));
const vars = Array.isArray(raw) ? raw : (raw.variables ?? []);
 
// 端末に渡してはいけない語を含む名前。自分の運用に合わせて足していきます
const SERVER_ONLY = /(SECRET|PRIVATE|SERVICE_ROLE|_TOKEN|ADMIN|WEBHOOK)/i;
 
const problems = [];
 
for (const v of vars) {
  const name = v.name ?? v.key;
  const visibility = String(v.visibility ?? '').toLowerCase();
  const isPublic = name.startsWith('EXPO_PUBLIC_');
 
  // (1) 更新のときだけ消える組み合わせ
  if (isPublic && visibility === 'secret') {
    problems.push(`${name}: EXPO_PUBLIC_ と secret の組み合わせです。ビルドでは埋まり、eas update では埋まりません`);
  }
 
  // (2) 端末に渡ってはいけない語が、公開側に置かれている
  if (isPublic && SERVER_ONLY.test(name)) {
    problems.push(`${name}: 名前の意味と置き場所が合っていません。サーバー側へ移します`);
  }
 
  // (3) 秘密として扱いたい値が plaintext のまま
  if (!isPublic && SERVER_ONLY.test(name) && visibility === 'plaintext') {
    problems.push(`${name}: plaintext です。sensitive 以上へ上げるか、EAS の外へ出します`);
  }
}
 
if (problems.length > 0) {
  console.error('環境変数の仕分けに食い違いがあります:');
  for (const p of problems) console.error(`  - ${p}`);
  process.exit(1);
}
console.log(`✅ ${vars.length} 件を確認しました。食い違いはありません`);

// app/config/env.js — 起動時に「あるべき値があるか」を見ます
// 本番では落とさず、開発と内部配布のときだけ気づける形にします
const REQUIRED = ['EXPO_PUBLIC_API_BASE_URL', 'EXPO_PUBLIC_ANALYTICS_KEY'];
 
export function assertPublicEnv() {
  const missing = REQUIRED.filter((name) => !process.env[name]);
  if (missing.length === 0) return;
 
  const message = `公開環境変数が置き換わっていません: ${missing.join(', ')}`;
 
  if (__DEV__) {
    throw new Error(message); // 開発中はここで止めます
  }
  // 本番はクラッシュさせず、計測にだけ残します。
  // OTA 更新の版でだけ欠ける現象は、この1行があると当日中に見つかります
  reportIssue('public_env_missing', { missing, channel: releaseChannelName() });
}