如何存儲命令行工具的敏感信息？

Question

假設您構建的客戶端位於需要訪問令牌的API之上。 客戶端的用戶可以插入他們的訪問令牌，生活很美好。

假設您要構建一個簡單的命令行工具來執行使用此客戶端的命令。 假設您想通過某些軟件包管理系統（例如npm，pypi等）從外部訪問此工具。

有沒有一種方法可以在不暴露命令行工具將使用的訪問令牌的情況下做到這一點？

顯然，您可以讓此命令行工具的每個用戶輸入自己的訪問令牌，而不是使用應用程序的訪問令牌。

Answer 1

如果您希望限制誰可以下載工具並保留應用程序訪問令牌，則可以使用Artifactory或類似產品來建立私有存儲庫。 缺點（除了無法進行未經授權的再分發以外）是用戶需要將其身份驗證詳細信息添加到其.npmrc或類似內容中才能連接到私有存儲庫，因此您實際上只是在解決問題一刪除。 而且，如果您要通過npm，則需要確定軟件包名稱的范圍或使用戶使用多個注冊表。

您的工具還可以在啟動時讀取配置文件，並從中獲取用戶訪問令牌，就像您如何讀取本地數據庫的連接信息一樣。 配置文件未分發，或作為示例提供，供最終用戶在使用前編輯其詳細信息。