refactor: Secret Manager SDK 제거하고 env 주입 방식으로 전환

.env.example

@@ -1,7 +1,9 @@
-# env 단일 출처는 GCP Secret Manager. 평상시 로컬은 `bun run start:local`로 SM에서 받아옵니다.
-# (최초 1회: gcloud auth application-default login)
+# env 단일 출처는 GCP Secret Manager. 앱이 직접 가져오지 않고 APP_ENV_DOTENV로 주입받습니다.
+#   로컬: bun run start:local (scripts/with-env.ts 가 ADC로 조회)
+#   prod: Cloud Run --set-secrets
+# 최초 1회: gcloud auth application-default login
 #
-# 아래는 SM을 건너뛰는 탈출구(오프라인/전환기)입니다. APP_CONFIG_SOURCE=env 로 켜면 사용됩니다.
+# 아래는 주입 없이 로컬 파일만으로 띄울 때 쓰는 탈출구입니다.
 
 # APP_CONFIG_SOURCE=env
 

.env.test

@@ -0,0 +1,11 @@
+# 테스트 전용 더미 값
+
+NODE_ENV=test
+
+GOOGLE_CLOUD_PROJECT=team-mino-test
+KAKAO_REST_API_KEY=test
+
+INSTAGRAM_GRAPHQL_ENDPOINT=https://www.instagram.com/api/graphql
+INSTAGRAM_DOC_ID=test
+INSTAGRAM_APP_ID=test
+INSTAGRAM_USER_AGENT=test

.github/workflows/deploy.yml

@@ -181,5 +181,6 @@ jobs:
           gcloud run services update team-mino-prod-api \
             --image "$IMAGE" \
             --set-env-vars "APP_ENV=prod,SENTRY_RELEASE=$SENTRY_RELEASE" \
+            --set-secrets "APP_ENV_DOTENV=team-mino-env-prod:latest" \
             --region "asia-northeast3" \
             --project "team-mino-prod"

.gitignore

@@ -9,6 +9,7 @@ skills-lock.json
 .env.*
 !.env.example
 !.env.*.example
+!.env.test
 [._]*.s[a-v][a-z]
 [._]*.sw[a-p]
 [._]s[a-rt-v][a-z]

e2e/setup.ts

@@ -14,6 +14,7 @@ const probe = Bun.serve({
 });
 const port = probe.port;
 const url = `postgres://postgres:postgres@127.0.0.1:${port}/team_mino`;
+const schema = "develop";
 const migrations = join(process.cwd(), "drizzle");
 const pg = new EmbeddedPostgres({
   databaseDir: join(tmpdir(), `team-mino-postgres-${randomUUID()}`),
@@ -27,21 +28,13 @@ const db = drizzle({
   connection: {
     url,
     max: 1,
-    connection: { search_path: "develop" },
+    connection: { search_path: schema },
   },
 });
 
-Object.assign(process.env, {
-  DATABASE_SCHEMA: "develop",
-  DATABASE_URL: url,
-  GOOGLE_CLOUD_PROJECT: "team-mino-test",
-  INSTAGRAM_APP_ID: "test",
-  INSTAGRAM_DOC_ID: "test",
-  INSTAGRAM_GRAPHQL_ENDPOINT: "https://www.instagram.com/api/graphql",
-  INSTAGRAM_USER_AGENT: "test",
-  KAKAO_REST_API_KEY: "test",
-  NODE_ENV: "test",
-});
+// DB 설정은 임베디드 인스턴스에 묶여 있어 여기서 주입합니다(나머지는 .env.test).
+process.env.DATABASE_URL = url;
+process.env.DATABASE_SCHEMA = schema;
 
 beforeAll(async () => {
   try {
@@ -56,7 +49,7 @@ beforeAll(async () => {
   if (existsSync(migrations)) {
     await migrate(db, {
       migrationsFolder: migrations,
-      migrationsSchema: "develop",
+      migrationsSchema: schema,
     });
   }
 }, 30_000);

infra/src/resources/secrets.ts

@@ -2,7 +2,7 @@ import * as gcp from "@pulumi/gcp";
 import * as pulumi from "@pulumi/pulumi";
 import { project } from "@/config";
 import { enabledServices } from "@/resources/apis";
-import { serverServiceAccount } from "@/resources/identity";
+import { developer, serverServiceAccount } from "@/resources/identity";
 
 /**
  * 앱 env를 담는 시크릿(local·prod). Pulumi는 "컨테이너"만 선언하고, 실제 값(버전)은
@@ -37,3 +37,31 @@ new gcp.secretmanager.SecretIamMember("team-mino-env-prod-runtime", {
   role: "roles/secretmanager.secretAccessor",
   member: pulumi.interpolate`serviceAccount:${serverServiceAccount.email}`,
 });
+
+// 개발자 SA가 로컬 실행 시 두 env를 읽고(secretAccessor)·갱신(secretVersionManager)할 수 있도록.
+const developerMember = pulumi.interpolate`serviceAccount:${developer.email}`;
+
+new gcp.secretmanager.SecretIamMember("team-mino-env-local-developer-read", {
+  secretId: localEnvSecret.secretId,
+  project,
+  role: "roles/secretmanager.secretAccessor",
+  member: developerMember,
+});
+new gcp.secretmanager.SecretIamMember("team-mino-env-local-developer-write", {
+  secretId: localEnvSecret.secretId,
+  project,
+  role: "roles/secretmanager.secretVersionManager",
+  member: developerMember,
+});
+new gcp.secretmanager.SecretIamMember("team-mino-env-prod-developer-read", {
+  secretId: prodEnvSecret.secretId,
+  project,
+  role: "roles/secretmanager.secretAccessor",
+  member: developerMember,
+});
+new gcp.secretmanager.SecretIamMember("team-mino-env-prod-developer-write", {
+  secretId: prodEnvSecret.secretId,
+  project,
+  role: "roles/secretmanager.secretVersionManager",
+  member: developerMember,
+});

package.json

@@ -7,19 +7,19 @@
     "build": "bun run scripts/build.ts",
     "check": "biome check .",
     "check:staged": "nano-staged --bail",
-    "db:generate": "drizzle-kit generate",
-    "db:migrate": "drizzle-kit migrate",
-    "db:schema-init": "bun run scripts/db-schema-init.ts",
-    "db:studio": "drizzle-kit studio",
+    "db:generate": "bun run scripts/with-env.ts -- drizzle-kit generate",
+    "db:migrate": "bun run scripts/with-env.ts -- drizzle-kit migrate",
+    "db:schema-init": "bun run scripts/with-env.ts -- bun run scripts/db-schema-init.ts",
+    "db:studio": "bun run scripts/with-env.ts -- drizzle-kit studio",
     "format": "biome format --write .",
     "lint": "biome lint .",
     "postinstall": "simple-git-hooks",
-    "start:local": "APP_ENV=local nest start --watch --exec bun",
+    "start:local": "bun run scripts/with-env.ts -- nest start --watch --exec bun",
     "start:prod": "./dist/server",
     "test": "bun run test:unit && bun run test:e2e",
-    "test:e2e": "bun test --preload ./e2e/setup.ts e2e/",
-    "test:unit": "bun test src/",
-    "test:watch": "bun test --watch src/",
+    "test:e2e": "bun test --env-file=.env.test --preload ./e2e/setup.ts e2e/",
+    "test:unit": "bun test --env-file=.env.test src/",
+    "test:watch": "bun test --env-file=.env.test --watch src/",
     "typecheck": "tsgo --noEmit",
     "typecheck:tsc": "tsc --noEmit"
   },
@@ -30,7 +30,6 @@
   "dependencies": {
     "@ai-sdk/google-vertex": "^4.0.147",
     "@ai-sdk/valibot": "^2.0.31",
-    "@google-cloud/secret-manager": "^6.2.0",
     "@google-cloud/storage": "^7.21.0",
     "@kiyasov/platform-hono": "^2.0.3",
     "@nestjs/common": "^11.1.24",
@@ -50,6 +49,7 @@
   },
   "devDependencies": {
     "@biomejs/biome": "^2.4.15",
+    "@google-cloud/secret-manager": "^6.3.0",
     "@nestjs/cli": "^11.0.21",
     "@nestjs/schematics": "^11.1.0",
     "@nestjs/testing": "^11.1.24",

scripts/db-schema-init.ts

@@ -13,7 +13,7 @@ import { resolveDbSchema } from "../src/infrastructures/db/db.env";
 
 async function main() {
   // 기본은 Secret Manager에서 env를 가져옵니다. APP_CONFIG_SOURCE=env 일 때만 건너뜀.
-  await loadSecretEnv();
+  loadSecretEnv();
 
   const url = process.env.DATABASE_URL;
   if (!url) {

scripts/with-env.ts

@@ -0,0 +1,73 @@
+#!/usr/bin/env bun
+
+/**
+ * 로컬 실행 래퍼. Secret Manager의 dotenv 원문을 받아 주입하고 자식 명령을 실행합니다.
+ *
+ *   bun run scripts/with-env.ts -- nest start --watch --exec bun
+ *
+ * drizzle-kit처럼 process.env를 직접 읽는 도구를 위해 개별 키까지 함께 주입합니다.
+ * SDK는 devDependency라 프로덕션 번들에는 포함되지 않습니다.
+ */
+
+import { SecretManagerServiceClient } from "@google-cloud/secret-manager";
+import { ENV_DOTENV_VAR, parseDotenv } from "../src/config/secret-env";
+
+const SECRET_FETCH_TIMEOUT_MS = 10_000;
+
+async function fetchSecret(project: string, secret: string): Promise<string> {
+  // fallback: true → gRPC 네이티브 의존성 대신 REST 사용.
+  const client = new SecretManagerServiceClient({ fallback: true });
+  const [version] = await client.accessSecretVersion(
+    { name: `projects/${project}/secrets/${secret}/versions/latest` },
+    { timeout: SECRET_FETCH_TIMEOUT_MS },
+  );
+  return version.payload?.data?.toString() ?? "";
+}
+
+async function main(): Promise<void> {
+  // `bun run x.ts -- cmd`는 bun이 `--`를 떼고 넘기지만, 직접 실행 시엔 남는다.
+  const args = process.argv.slice(2);
+  const command = args[0] === "--" ? args.slice(1) : args;
+  if (command.length === 0) {
+    console.error("usage: bun run scripts/with-env.ts -- <command> [args...]");
+    process.exit(1);
+  }
+
+  const env: Record<string, string> = {
+    ...(process.env as Record<string, string>),
+  };
+  env.APP_ENV ??= "local";
+
+  if (env.APP_CONFIG_SOURCE !== "env") {
+    const project = env.GCP_PROJECT ?? "team-mino-prod";
+    const secret = env.GCP_ENV_SECRET ?? `team-mino-env-${env.APP_ENV}`;
+
+    let payload: string;
+    try {
+      payload = await fetchSecret(project, secret);
+    } catch (error) {
+      console.error(`시크릿을 가져오지 못했습니다: ${secret} (${project})`);
+      console.error(error instanceof Error ? error.message : error);
+      console.error(
+        "ADC 로그인(gcloud auth application-default login)을 확인하거나, APP_CONFIG_SOURCE=env 로 우회하세요.",
+      );
+      process.exit(1);
+    }
+
+    env[ENV_DOTENV_VAR] = payload;
+    for (const [key, value] of Object.entries(parseDotenv(payload))) {
+      if (env[key] === undefined) env[key] = value;
+    }
+  }
+
+  const child = Bun.spawn(command, {
+    env,
+    stdio: ["inherit", "inherit", "inherit"],
+  });
+  process.exit(await child.exited);
+}
+
+main().catch((error: unknown) => {
+  console.error(error);
+  process.exit(1);
+});

src/config/secret-env.ts

@@ -1,19 +1,14 @@
-import { SecretManagerServiceClient } from "@google-cloud/secret-manager";
-
 /**
- * 부팅 시 GCP Secret Manager에서 env 묶음을 가져와 process.env에 주입합니다.
- *
- * env의 단일 출처를 Secret Manager로 두고, 로컬·Cloud Run 모두 부팅 시 fetch합니다.
- * 환경은 APP_ENV(`local` | `prod`)로 고르며 시크릿 `team-mino-env-${APP_ENV}`에 매핑됩니다.
- * APP_CONFIG_SOURCE=env 이면 SM을 건너뛰고 기존 process.env/.env 를 씁니다(오프라인/전환기용).
+ * 주입된 dotenv 원문(APP_ENV_DOTENV)을 파싱해 process.env에 채웁니다.
+ * prod는 Cloud Run `--set-secrets`, 로컬은 `scripts/with-env.ts`가 주입합니다.
  *
- * 부팅 최초 단계(ConfigModule 검증 이전)라 ConfigService가 없으므로,
- * "env는 ConfigService로만" 규칙의 의도적 예외로 process.env를 직접 다룹니다.
+ * 시크릿 포맷은 한 줄 = 한 키(여러 줄 값은 base64로 인코딩).
+ * ConfigModule 검증 이전에 도는 부팅 최초 단계라 process.env를 직접 다룹니다.
  */
 
-const SECRET_FETCH_TIMEOUT_MS = 5000;
+export const ENV_DOTENV_VAR = "APP_ENV_DOTENV";
 
-function parseDotenv(src: string): Record<string, string> {
+export function parseDotenv(src: string): Record<string, string> {
   const result: Record<string, string> = {};
   for (const line of src.split("\n")) {
     if (/^\s*(#|$)/.test(line)) continue;
@@ -26,27 +21,15 @@ function parseDotenv(src: string): Record<string, string> {
   return result;
 }
 
-function resolveSecretName(): string {
-  if (process.env.GCP_ENV_SECRET) return process.env.GCP_ENV_SECRET;
-  return `team-mino-env-${process.env.APP_ENV ?? "local"}`;
-}
-
-export async function loadSecretEnv(): Promise<void> {
-  if (process.env.APP_CONFIG_SOURCE === "env") return;
+export function loadSecretEnv(): void {
+  const payload = process.env[ENV_DOTENV_VAR];
+  if (!payload) return;
 
-  const project = process.env.GCP_PROJECT ?? "team-mino-prod";
-  const secret = resolveSecretName();
-
-  // fallback: true → gRPC 네이티브 의존성 대신 REST 사용(bun --compile 단일 바이너리 번들 안전).
-  const client = new SecretManagerServiceClient({ fallback: true });
-  const [version] = await client.accessSecretVersion(
-    { name: `projects/${project}/secrets/${secret}/versions/latest` },
-    { timeout: SECRET_FETCH_TIMEOUT_MS },
-  );
-
-  const payload = version.payload?.data?.toString() ?? "";
   for (const [key, value] of Object.entries(parseDotenv(payload))) {
-    // 이미 설정된 값은 보존 → OS env로 개별 오버라이드 허용.
+    // 배포·셸이 넣은 값이 주입값보다 우선.
     if (process.env[key] === undefined) process.env[key] = value;
   }
+
+  // 원문이 env에 통째로 남지 않도록 정리.
+  delete process.env[ENV_DOTENV_VAR];
 }

src/main.ts

@@ -6,7 +6,7 @@ import {
 } from "./config/sentry.config";
 
 async function main(): Promise<void> {
-  await loadSecretEnv();
+  loadSecretEnv();
   initializeSentry(process.env, Sentry.init);
   const { bootstrap } = await import("./bootstrap");
   await bootstrap();