Unix配置文件如何存储真实值，查看时显示为XXXXX？

要实现「脚本可读取真实密码，直接查看配置文件仅显示占位符」的需求，以下是几种实用方案：

方案一：加密存储+脚本解密 #

把真实密码加密后存入配置文件，脚本运行时解密获取明文：

1. 生成加密后的密码串（以AES-256加密为例）：

   # 替换your_real_password为真实密码，your_key为自定义加密密钥
   echo "your_real_password" | openssl enc -aes-256-cbc -salt -base64 -k "your_key"
   

2. 将加密串写入配置文件，占位符保留在显式字段：

   # 配置文件示例（比如app.conf）
   PASSWORD=XXXXXXXXXXXX
   # 加密后的真实密码，仅脚本读取
   PASSWORD_ENC=U2FsdGVkX192ZzJ...（上面生成的加密串）
   

3. 脚本中解密获取真实密码：

   # 读取配置文件中的加密串
   source app.conf
   # 解密得到真实密码
   REAL_PASSWORD=$(echo "$PASSWORD_ENC" | openssl enc -aes-256-cbc -d -base64 -k "your_key")
   # 使用REAL_PASSWORD进行后续操作
   

• 注意：加密密钥不要存放在配置文件中，可写入脚本（脚本权限设为chmod 700）或通过环境变量传递。

方案二：权限隔离的独立密码文件 #

配置文件仅存占位符，真实密码放在权限严格受限的独立文件中：

1. 配置文件写入占位符：

   # app.conf
   PASSWORD=XXXXXXXXXXXX
   

2. 创建仅脚本运行用户可读的密码文件：

   echo "your_real_password" > /var/secure/app_real_pass
   chmod 600 /var/secure/app_real_pass
   chown script_user:script_group /var/secure/app_real_pass
   

3. 脚本中读取真实密码：

   # 读取占位符（可选，仅保持格式一致）
   source app.conf
   # 从权限文件获取真实密码
   REAL_PASSWORD=$(cat /var/secure/app_real_pass)
   

• 优势：无需加密，仅依赖文件系统权限，操作简单；缺点：若用户有权限查看脚本，可能看到密码文件路径。

方案三：环境变量替代明文存储 #

配置文件使用环境变量占位符，真实密码通过环境变量注入：

1. 配置文件中写入占位符：

   # app.conf
   PASSWORD=${REAL_PASSWORD:-XXXXXXXXXXXX}
   

2. 设置环境变量（仅对当前会话有效）：

   export REAL_PASSWORD=your_real_password
   

   若要持久化，可写入运行用户的~/.bashrc或~/.profile，并设置文件权限为chmod 700 ~/.bashrc。
3. 脚本中直接使用配置文件的变量：

   source app.conf
   # 此时PASSWORD变量会自动替换为环境变量中的真实值
   echo "$PASSWORD" # 输出真实密码
   

• 优势：配置文件完全无真实密码痕迹；缺点：依赖环境变量的正确设置，多用户场景需注意隔离。

内容的提问来源于stack exchange，提问作者markT