部署Streamlit生产应用时，如何处理Cockroach DB的CA证书？

以下是几种替代将CA证书文本存入secrets.toml的可行方案：

1. 利用部署平台的文件挂载/持久化存储 #

大多数主流部署平台（Streamlit Community Cloud、AWS EC2、GCP Cloud Run、Docker等）都支持直接挂载或上传文件到部署环境的指定路径。

• 操作步骤：
  • 将CA证书文件（比如root.crt）上传到部署平台提供的文件存储位置，或通过挂载卷的方式让应用容器能访问到该文件。
  • 在secrets.toml中仅存储数据库连接核心凭证（用户名、密码、主机端口等），连接时直接指定证书路径：

    import streamlit as st
    import psycopg2
    
    conn = psycopg2.connect(
        host=st.secrets["db_host"],
        port=st.secrets["db_port"],
        user=st.secrets["db_user"],
        password=st.secrets["db_password"],
        dbname=st.secrets["db_name"],
        sslmode="verify-full",
        sslrootcert="/path/to/your/root.crt"  # 填写部署环境中证书的实际路径
    )
    

• 优势：证书保持原始文件格式，无需转码，管理更直观。

2. 通过环境变量存储证书内容并临时写入文件 #

Streamlit支持读取系统环境变量，可将CA证书完整内容设置为环境变量，在代码中读取后写入临时文件再使用：

• 操作步骤：
  • 在部署平台的环境变量设置中，添加COCKROACH_CA_CERT变量，值为CA证书的完整文本（包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----）。
  • 在应用代码中读取该变量并创建临时文件：

    import streamlit as st
    import psycopg2
    import tempfile
    import os
    
    # 读取环境变量中的证书内容
    ca_cert_content = os.getenv("COCKROACH_CA_CERT")
    
    # 创建临时文件存储证书
    with tempfile.NamedTemporaryFile(mode='w', suffix='.crt', delete=False) as f:
        f.write(ca_cert_content)
        temp_cert_path = f.name
    
    try:
        # 建立数据库连接
        conn = psycopg2.connect(
            host=st.secrets["db_host"],
            port=st.secrets["db_port"],
            user=st.secrets["db_user"],
            password=st.secrets["db_password"],
            dbname=st.secrets["db_name"],
            sslmode="verify-full",
            sslrootcert=temp_cert_path
        )
    finally:
        # 用完临时文件后删除
        os.unlink(temp_cert_path)
    

• 优势：无需修改secrets.toml，证书通过平台环境变量管理，符合部分团队运维规范。

3. Docker部署时打包或挂载证书 #

如果采用Docker部署Streamlit应用，有两种灵活的处理方式：

• 方案A：将CA证书打包进镜像
  在Dockerfile中添加复制证书的指令：

  FROM python:3.10-slim
  
  # 复制CA证书到镜像内指定路径
  COPY root.crt /app/root.crt
  
  # 其他镜像构建步骤（安装依赖、复制应用代码等）
  COPY requirements.txt .
  RUN pip install --no-cache-dir -r requirements.txt
  COPY . .
  
  CMD ["streamlit", "run", "app.py"]
  

  代码中直接使用/app/root.crt作为证书路径即可。
• 方案B：使用Docker Volume挂载证书
  运行容器时通过-v参数挂载本地证书文件到容器内：

  docker run -v /local/path/to/root.crt:/app/root.crt -p 8501:8501 your-streamlit-image
  

  代码中同样使用/app/root.crt作为证书路径。

内容的提问来源于stack exchange，提问作者Kahhow