Lorsque vous travaillez avec Laravel et les services Google Cloud, vous devrez souvent gérer les identifiants de compte de service, fournis sous forme de fichiers JSON. Ces identifiants sont sensibles et ne doivent pas être soumis au contrôle de version. .env Les fichiers constituent le choix naturel pour le stockage. Cependant, .env Les fichiers sont conçus pour des paires clé-valeur simples, et non pour des structures JSON complexes. Découvrons les meilleures pratiques pour gérer ce problème courant.
Le défi
Les clés de compte de service Google ressemblent généralement à ceci :
{ "type": "service_account", "project_id": "your-project-id", "private_key_id": "key-id", "private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----\n", "client_email": "[email protected]", "client_id": "123456789", "auth_uri": "https://accounts.google.com/o/oauth2/auth", "token_uri": "https://oauth2.googleapis.com/token", "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs", "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/..." }
Le défi est que .env les fichiers ne prennent pas en charge nativement les valeurs multilignes ou les structures complexes, et la clé privée contient des caractères de nouvelle ligne qui peuvent interrompre l'analyse.
Solution 1 : Encodage Base64 (recommandé)
L'approche la plus fiable consiste à encoder votre JSON en chaîne base64. Cela élimine les problèmes liés aux caractères spéciaux, aux sauts de ligne et aux guillemets.
Étapes de mise en œuvre
Étape 1 : Encodez votre fichier JSON
# Sous Linux/Mac base64 -i credentials.json -o encoded.txt # Ou en utilisant PHP php -r "echo base64_encode(file_get_contents('credentials.json'));"
Étape 2 : Ajoutez à votre .env déposer
COMPTE_SERVICE_GOOGLE_JSON=eyJ0eXBlIjoic2VydmljZV9hY2NvdW50IiwicHJvamVjdF9pZCI6...
Étape 3 : Décoder dans votre application Laravel
// config/services.php return [ 'google' => [ 'service_account' => env('GOOGLE_SERVICE_ACCOUNT_JSON') ? json_decode(base64_decode(env('GOOGLE_SERVICE_ACCOUNT_JSON')), true) : null, ], ];
Étape 4 : Utiliser dans votre application
utiliser Google\Client; classe GoogleServiceProvider { public function getClient(): Client { $client = new Client(); $serviceAccount = config('services.google.service_account'); si ($serviceAccount) { $client->setAuthConfig($serviceAccount); $client->setScopes(['https://www.googleapis.com/auth/drive']); } renvoyer $client; } }
Solution 2 : Variables d'environnement individuelles
Pour les cas plus simples ou lorsque vous n'avez besoin que de valeurs spécifiques, vous pouvez extraire des champs individuels :
GOOGLE_PROJECT_ID=votre-id-de-projet GOOGLE_CLIENT_EMAIL=service-account@project.iam.gserviceaccount.com GOOGLE_PRIVATE_KEY="-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----\n"
Reconstruisez ensuite le tableau dans votre configuration :
// config/services.php return [ 'google' => [ 'project_id' => env('GOOGLE_PROJECT_ID'), 'client_email' => env('GOOGLE_CLIENT_EMAIL'), 'private_key' => str_replace('\\n', "\n", env('GOOGLE_PRIVATE_KEY')), ], ];
Solution 3 : chaîne JSON avec caractères d'échappement
Vous pouvez stocker le JSON sous forme de chaîne d'une seule ligne avec des caractères d'échappement :
GOOGLE_SERVICE_ACCOUNT_JSON='{"type":"service_account","project_id":"..."}'
Cependant, cette approche devient difficile à manier avec des clés privées contenant des nouvelles lignes et nécessite un échappement prudent.
Bonnes pratiques
1. Ne confiez jamais vos informations d'identification au contrôle de version
Incluez toujours votre .env déposer dans .gitignore:
.env .env.backup .env.production credentials.json *.json # Si vous stockez des fichiers de compte de service2. Utiliser la mise en cache de configuration de Laravel
Mettez en cache votre configuration en production pour améliorer les performances :
configuration php artisan:cacheN'oubliez pas de vider le cache lors de la mise à jour des variables d'environnement :
configuration de php artisan:effacer3. Valider la configuration au démarrage de l'application
Créez un fournisseur de services pour valider vos identifiants Google en amont :
espace de noms App\Providers ; utiliser Illuminate\Support\ServiceProvider ; classe GoogleCredentialsServiceProvider étend ServiceProvider { fonction publique boot() : void { si (app()->environment('production')) { $this->validateGoogleCredentials(); } } fonction privée validateGoogleCredentials() : void { $credentials = config('services.google.service_account'); si (!$credentials) { lancer une nouvelle \RuntimeException('Les informations d'identification du compte de service Google ne sont pas configurées'); } $requiredKeys = ['type', 'project_id', 'private_key', 'client_email']; foreach ($requiredKeys as $key) { if (!isset($credentials[$key])) { throw new \RuntimeException("Informations d'identification Google requises manquantes : {$key}"); } } } }
4. Utiliser des fichiers spécifiques à l'environnement
Laravel prend en charge des environnements spécifiques .env fichiers:
.env.local– Développement local.env.testing– Environnement de test.env.staging– Environnement de mise en scène.env.production– Environnement de production
5. Mettre en œuvre la rotation des clés
Créez une commande pour faciliter la rotation des clés de compte de service :
espace de noms App\Console\Commands; utiliser Illuminate\Console\Command; classe RotateGoogleCredentials étend Command { protected $signature = 'google:rotate-credentials {path : Chemin d'accès au nouveau fichier JSON}'; protected $description = 'Faire pivoter les identifiants du compte de service Google'; public function handle(): int { $path = $this->argument('path'); if (!file_exists($path)) { $this->error("Fichier introuvable : {$path}"); return 1; } $json = file_get_contents($path); $encoded = base64_encode($json); $this->info('Ajoutez ceci à votre fichier .env :'); $this->line("GOOGLE_SERVICE_ACCOUNT_JSON={$encoded}"); // Valider éventuellement les nouveaux identifiants $credentials = json_decode($json, true); if (!$credentials) { $this->error('Fichier JSON non valide'); return 1; } $this->info('✓ Identifiants validés avec succès'); return 0; } }
6. Utilisez le chiffrement Laravel pour plus de sécurité
Pour les environnements très sensibles, pensez à crypter les informations d'identification :
// Stockage des informations d'identification chiffrées $encrypted = encrypt(file_get_contents('credentials.json')); // Stockage de $encrypted dans .env // Récupération et déchiffrement $credentials = json_decode(decrypt(env('GOOGLE_SERVICE_ACCOUNT_JSON_ENCRYPTED')), true);
7. Documentez votre approche
Documentez toujours l'approche que vous avez choisie dans le fichier README de votre projet :
## Configuration du compte de service Google 1. Obtenez le fichier JSON de votre compte de service à partir de Google Cloud Console 2. Encodez le fichier : `base64 -i credentials.json` 3. Copiez la sortie dans `.env` : `GOOGLE_SERVICE_ACCOUNT_JSON= ` 4. Vider le cache de configuration : `php artisan config:clear` 5. Tester la connexion : `php artisan google:test-connection`
Considérations de sécurité
- Principe du moindre privilège: Accordez uniquement les autorisations minimales requises à votre compte de service
- Audits réguliers: Vérifiez périodiquement quels comptes de service ont accès à vos ressources
- Utilisation du moniteur:Utilisez les journaux d'audit de Google Cloud pour surveiller l'activité du compte de service
- Stockage sécurisé:En production, pensez à utiliser :
- Gestionnaire de secrets AWS
- Gestionnaire de secrets Google
- Coffre de clés Azure
- Coffre-fort HashiCorp
Alternative : approche basée sur les fichiers
Pour certains scénarios, conserver le fichier JSON séparé peut être plus propre :
// config/services.php return [ 'google' => [ 'service_account_path' => env('GOOGLE_APPLICATION_CREDENTIALS', storage_path('credentials/google.json')), ], ]; // Usage $client = new Client(); $client->setAuthConfig(config('services.google.service_account_path'));
Puis dans .env:
GOOGLE_APPLICATION_CREDENTIALS=/chemin/vers/credentials.jsonConclusion
Alors que .env Bien que les fichiers ne soient pas conçus pour des structures JSON complexes, l'encodage base64 offre une solution fiable, sécurisée et maintenable pour stocker les identifiants des comptes de service Google dans les applications Laravel. En suivant ces bonnes pratiques, vous pouvez garantir la sécurité de vos identifiants tout en conservant une base de code propre et professionnelle.
N'oubliez pas que la sécurité n'est pas une configuration ponctuelle, mais un processus continu. Revoyez régulièrement vos pratiques de gestion des identifiants, maintenez vos dépendances à jour et respectez toujours le principe du moindre privilège lors de la configuration des comptes de service.
Pour les environnements de production, envisagez d’aller au-delà .env fichiers vers des solutions de gestion secrète dédiées qui offrent de meilleures fonctionnalités de sécurité telles que la rotation automatique, la journalisation d'audit et un contrôle d'accès précis.
Dernière mise à jour le 8 septembre 2025
Français 
English 
Deutsch 
Nederlands 
Español 
Italiano 
Svenska