在AWS EC2部署Express服务器：环境密钥存储方案咨询

直接创建.env文件是否可行？ #

可行，但不推荐。原因如下：

• 安全风险：若EC2实例被入侵，攻击者可直接读取.env文件获取密钥；若代码仓库管理不慎，.env被误提交会直接泄露敏感信息。
• 维护成本：密钥与代码耦合，后续更换密钥或多实例部署时，需手动复制文件，管理效率低。

更安全的环境密钥存储方案 #

1. AWS Systems Manager Parameter Store/Secrets Manager #

这是AWS官方推荐的敏感信息存储方式：

• Parameter Store（基础层级免费）：适合存储配置参数和普通密钥，支持加密存储。
  • 操作流程：
    1. 在AWS控制台的Systems Manager中创建参数，类型选择「SecureString」，填入数据库密钥。
    2. 为EC2实例的IAM角色添加ssm:GetParameter权限，允许实例读取该参数。
    3. 在Express启动脚本中通过CLI拉取参数并设置为环境变量：

       export DB_PASSWORD=$(aws ssm get-parameter --name "/myapp/db/password" --with-decryption --query "Parameter.Value" --output text)
       node app.js
       

• Secrets Manager：适合存储高敏感密钥，支持自动轮换功能（需少量费用），用法类似Parameter Store，CLI命令替换为aws secretsmanager get-secret-value。

2. EC2实例系统级环境变量 #

无需写入文件，直接在实例的配置文件中设置环境变量：

• 编辑~/.bashrc或~/.profile文件，添加：

  export DB_HOST="你的数据库地址"
  export DB_USER="数据库用户名"
  export DB_PASSWORD="数据库密钥"
  

• 执行source ~/.bashrc使变量生效，随后启动Express服务。
• 优势：密钥不落地磁盘，降低被读取风险；缺点是实例被入侵时，攻击者可通过printenv命令查看变量。

3. Docker容器化部署（可选） #

若用Docker部署Express，可通过启动参数传递环境变量：

docker run -e DB_HOST=xxx -e DB_PASSWORD=xxx -p 8000:8000 你的Express镜像名

避免在镜像中嵌入敏感信息，密钥仅在容器启动时传递。

8000端口公网暴露配置 #

• 配置EC2实例的安全组：添加入站规则，允许TCP协议的8000端口访问（可指定IP段或0.0.0.0/0开放公网访问）。
• 若实例在VPC中，需确认网络ACL未阻止8000端口的入站流量。

内容的提问来源于stack exchange，提问作者user16565052