Cachix ha publicado dotenv-ng 1.0, una reescritura en Rust del popular cargador de archivos .env dotenvy, disponible en crates.io y pensada para integrarse en SecretSpec a partir de la versión 0.20. El proyecto nace como fork de dotenvy 0.15.7 tras descubrir que su parser interpretaba fragmentos precedidos por el símbolo dólar como sustituciones de variables, lo que alteró un valor con fragmentos de bcrypt usado como secreto y provocó un fallo de autenticación en lugar de un error de sintaxis. Peticiones para hacer configurable la sustitución de variables llevaban abiertas desde 2024 y un pull request de 2026 apuntaba a una API aún no publicada, un retraso incompatible con una herramienta de migración que no puede obligar a los usuarios a escapar la sintaxis del parser dentro de sus secretos. dotenvy, descrito como fork mantenido del crate original dotenv (marcado como no mantenido por RustSec en 2021), no publicaba una nueva versión desde el 22 de marzo de 2023, una lagune de más de tres años. La auditoría del parser reveló además problemas con JSON, rutas de Windows, caracteres Unicode y mutación parcial del entorno. dotenv-ng introduce un parser con conciencia del origen y errores estructurados, signos dólar literales por defecto, una gramática de claves más amplia que admite guiones, dígitos y puntos iniciales, así como Unicode, un renderer que solo añade el entrecomillado y escape imprescindibles, validación previa y un límite unsafe explícito antes de modificar el proceso. El proyecto asegura cobertura de líneas del 100 % en parser y renderer, con pruebas de propiedades que ejercitan valores Unicode y redondan documentos completos.
Noticias agregadas con IA