在哪里保留Web應用程序的私鑰和憑據？

Question

我有一個Web應用程序，該應用程序使用鍵和憑據從諸如支付網關，數據庫提供者之類的外部服務調用API端點。

我謹記以下這些選項來保持這些值：

1. 在應用啟動之前設置環境變量，並在應用運行時加載它們。 如果所需的值不可用（例如未設置），請退出應用程序。
2. 在應用啟動時，要求用戶（我自己或管理員）輸入憑據。 如果必填字段為空，請退出，否則繼續加載應用程序。
3. 將它們作為純值保存在配置文件中。 對我來說，這是最不推薦的方法。

如果我想盡可能安全地保管鑰匙，應該使用哪個？

Answer 1

我會使用用戶環境變量 ，這是google和amazon都建議的。

如果要存儲為純文本文件，請記住不要將其保留在應用程序的源代碼樹中（如果使用某些版本控制，則可能最終將其公開）。

另外，請記住要定期重新生成密鑰。

Answer 2

我認為您應該像您所說的那樣使用配置文件。 也許加密它？

Answer 3

如果要管理很多鍵，則環境變量會變得笨拙。 混合方法對我有用：加密秘密並將其全部放入config（通常為base64）中。 對所有密鑰使用相同的加密密鑰，並將其作為環境變量傳遞。

因此，您只需要設置一個環境變量即可根據需要保護盡可能多的其他機密。