Node.js Web服务器后端安全存储SSH凭据方案咨询（免重复输入密码）

哈希方案确实不适合你的场景——它是单向不可逆的，必须每次输入明文才能验证。下面是几种无需重复输入密码的安全存储方案，适配不同部署场景：

1. 本地加密存储 + 环境变量存密钥 #

用对称加密把SSH凭据加密后存在本地文件，加密密钥存在服务器的环境变量里。服务器启动时读取密钥解密一次，将明文缓存到内存，后续直接使用缓存的凭据即可。

示例代码（基于Node.js内置crypto模块）：

const crypto = require('crypto');
const fs = require('fs');

// 加密函数（AES-256-GCM，安全级别较高）
function encrypt(text, key) {
  const iv = crypto.randomBytes(12);
  const cipher = crypto.createCipheriv('aes-256-gcm', Buffer.from(key, 'hex'), iv);
  let encrypted = cipher.update(text);
  encrypted = Buffer.concat([encrypted, cipher.final()]);
  return {
    iv: iv.toString('hex'),
    encryptedData: encrypted.toString('hex'),
    authTag: cipher.getAuthTag().toString('hex')
  };
}

// 解密函数
function decrypt(encryptedObj, key) {
  const iv = Buffer.from(encryptedObj.iv, 'hex');
  const encryptedData = Buffer.from(encryptedObj.encryptedData, 'hex');
  const authTag = Buffer.from(encryptedObj.authTag, 'hex');
  const decipher = crypto.createDecipheriv('aes-256-gcm', Buffer.from(key, 'hex'), iv);
  decipher.setAuthTag(authTag);
  let decrypted = decipher.update(encryptedData);
  decrypted = Buffer.concat([decrypted, decipher.final()]);
  return decrypted.toString();
}

// 服务器启动时仅执行一次解密
const ENCRYPTION_KEY = process.env.SSH_CRED_KEY; // 从环境变量读取密钥
const encryptedCreds = JSON.parse(fs.readFileSync('./encrypted-ssh.json', 'utf8'));
const sshCreds = decrypt(encryptedCreds, ENCRYPTION_KEY);
// 后续直接使用sshCreds即可

注意事项：

• 密钥用crypto.randomBytes(32).toString('hex')生成256位安全密钥
• 环境变量不要硬编码到代码，部署时通过服务器配置（如systemd的EnvironmentFile、Docker环境变量）注入
• 加密后的凭据文件禁止提交到代码仓库

2. 利用操作系统原生密钥管理服务 #

把SSH凭据存入操作系统自带的密钥链，由系统负责加密存储和安全防护，Node.js通过专用包读取即可。

推荐用keytar包（支持Windows Credential Manager、macOS Keychain、Linux libsecret）：

const keytar = require('keytar');

// 预先执行一次存入密钥链（写个一次性脚本即可）
// keytar.setPassword('MyNodeBackend', 'SSHUser', 'your-ssh-password');
// keytar.setPassword('MyNodeBackend', 'SSHKeyPassphrase', 'your-key-passphrase');

// 服务器启动时读取并缓存凭据
let cachedSSHCreds;
async function loadSSHCreds() {
  const username = await keytar.getPassword('MyNodeBackend', 'SSHUser');
  const passphrase = await keytar.getPassword('MyNodeBackend', 'SSHKeyPassphrase');
  cachedSSHCreds = { username, passphrase };
  // 启动服务器逻辑
}

loadSSHCreds();

优势：

• 系统级安全防护，比如macOS Keychain需用户授权（开发环境），服务器环境可配置无交互访问
• 无需自行管理加密密钥，降低人为出错风险

3. 分布式集群用专业秘密管理工具 #

如果是多服务器集群部署，用HashiCorp Vault这类集中式秘密管理工具更合适。凭据统一存在Vault中，服务器启动时通过身份验证（如AppRole、Token）获取并缓存。

示例用node-vault包：

const Vault = require('node-vault');

const vault = Vault({
  apiVersion: 'v1',
  endpoint: process.env.VAULT_ADDR,
  token: process.env.VAULT_TOKEN // 服务器的Vault访问令牌
});

// 启动时获取凭据
let cachedSSHCreds;
async function fetchSSHCreds() {
  const res = await vault.read('secret/backend/ssh-creds');
  cachedSSHCreds = res.data;
  // 启动服务器
}

fetchSSHCreds();

注意：

• 配置Vault的访问控制策略，仅允许你的Node.js服务器读取指定秘密路径
• 开启Vault的令牌自动轮换功能，进一步提升安全性

内容的提问来源于stack exchange，提问作者markusplayz__