APIキーと秘密情報の管理

なぜ学ぶか： 「AIとアプリを作ったら、APIキーが漏れて高額請求が来た」— これは実際に多発している事故です。セキュリティの中でも件数が多く、被害も分かりやすいのがこれ。だからこのフェーズの先頭に置きました。キーの扱いの鉄則を、ここで体に染み込ませます。

コード例

// ❌ 絶対NG: コードに直書き（Git に残り、漏れる）
// const apiKey = "sk-abc123...";

// ❌ 絶対NG: ブラウザに公開（誰でも開発者ツールで見られる）
// const apiKey = process.env.NEXT_PUBLIC_API_SECRET;

// ✅ 正解: 環境変数（無印）+ サーバー側でだけ使う
// app/api/xxx/route.ts の中で:
export async function POST() {
  const apiKey = process.env.API_SECRET; // サーバーでのみ読める
  console.log("キー設定済み:", Boolean(apiKey));
  return Response.json({ ok: true });
}

「直書きしない・ブラウザに渡さない・漏れたら無効化」。この3つだけで、最も多い事故のほとんどを防げます。AIのコードでは特に2番目（NEXT_PUBLIC_の付け間違い）を目視で確認しましょう。