クライアントに置いた鍵は公開情報 — Rork 生成アプリの秘密境界とローテーション手順

// あなたが書いたコード
const key = process.env.EXPO_PUBLIC_ANALYTICS_KEY;
 
// バンドルに出力されるコード（イメージ）
const key = "a1b2c3d4e5f6...";

grep -rn "EXPO_PUBLIC_" app/ src/ 2>/dev/null | grep -viE "URL|ENV|VERSION|SENTRY_DSN"

// worker.js — 生成 AI API への薄いプロキシ
// 鍵は Workers の Secret（env.UPSTREAM_API_KEY）にのみ存在する
const ALLOWED_ORIGINS = new Set(["https://myapp.example.com"]);
const MAX_BODY_BYTES = 8 * 1024;
 
export default {
  async fetch(request, env) {
    if (request.method !== "POST") {
      return new Response("Method Not Allowed", { status: 405 });
    }
 
    // 1. アプリの正当性を確認する（後述の App Attest / Play Integrity トークン）
    const attestation = request.headers.get("X-App-Attestation");
    if (!(await verifyAttestation(attestation, env))) {
      return new Response("Unauthorized", { status: 401 });
    }
 
    // 2. 端末単位のレート制限（KV に 60 秒 TTL でカウンタを置く）
    const deviceId = request.headers.get("X-Device-Id") ?? "unknown";
    const bucket = `rl:${deviceId}:${Math.floor(Date.now() / 60000)}`;
    const count = Number((await env.RATE_KV.get(bucket)) ?? 0);
    if (count >= 20) {
      return new Response("Too Many Requests", { status: 429 });
    }
    await env.RATE_KV.put(bucket, String(count + 1), { expirationTtl: 90 });
 
    // 3. 入力サイズを絞る（課金の暴走を止める最も安い方法）
    const body = await request.text();
    if (body.length > MAX_BODY_BYTES) {
      return new Response("Payload Too Large", { status: 413 });
    }
 
    // 4. 鍵をここで初めて付与して上流へ渡す
    const upstream = await fetch("https://api.example-ai.com/v1/messages", {
      method: "POST",
      headers: {
        "Content-Type": "application/json",
        Authorization: `Bearer ${env.UPSTREAM_API_KEY}`,
      },
      body,
    });
 
    // 5. 上流のヘッダをそのまま返さない（鍵の痕跡・内部情報の遮断）
    return new Response(upstream.body, {
      status: upstream.status,
      headers: { "Content-Type": "application/json" },
    });
  },
};
 
async function verifyAttestation(token, env) {
  if (!token) return false;
  // App Attest / Play Integrity の検証結果をキャッシュする実装に差し替える
  const cached = await env.RATE_KV.get(`att:${token}`);
  return cached === "ok";
}

#!/usr/bin/env bash
# scripts/secret_boundary_gate.sh — 層3の鍵がクライアント側へ混入していないか検査する
set -euo pipefail
 
FAIL=0
 
# 1. 層3の鍵の実フォーマットがソースに存在しないか
#    （プレースホルダは YOUR_API_KEY 等に統一しておく）
if grep -rnE 'sk_live_[A-Za-z0-9]{8,}|sk-[A-Za-z0-9]{20,}|service_role' app/ src/ 2>/dev/null; then
  echo "❌ 層3の鍵らしき文字列がクライアントコードに存在します"
  FAIL=1
fi
 
# 2. EXPO_PUBLIC_ の許可リスト方式（新設時は明示的に追加させる）
ALLOWED='EXPO_PUBLIC_API_URL|EXPO_PUBLIC_ENV|EXPO_PUBLIC_SENTRY_DSN|EXPO_PUBLIC_REVENUECAT_PUBLIC_KEY'
if grep -rhoE 'EXPO_PUBLIC_[A-Z0-9_]+' app/ src/ 2>/dev/null \
   | sort -u | grep -vE "^(${ALLOWED})$" | grep .; then
  echo "❌ 許可リストにない EXPO_PUBLIC_ 変数です。層1/層2であることを確認して許可リストへ追加してください"
  FAIL=1
fi
 
# 3. 設定オブジェクト全体のログ出力
if grep -rnE 'console\.log\((config|env|process\.env)\)' app/ src/ 2>/dev/null; then
  echo "❌ 設定オブジェクトをそのままログ出力しています"
  FAIL=1
fi
 
[ "$FAIL" -eq 0 ] && echo "✅ 秘密境界: 違反なし"
exit "$FAIL"