如何隐藏Python应用的MySQL数据库连接账号密码以保障安全？

以下是几种实用且安全的方案，按从简单到生产级的顺序排列：

1. 使用环境变量 #

这是本地开发和生产环境都适用的基础方案，把敏感信息存在系统环境变量里，代码里只读取变量而非硬编码。

步骤： #

• 临时设置（单次会话）：
  • Windows命令提示符：set DB_USER=uname、set DB_PASS=test password
  • Linux/macOS终端：export DB_USER=uname、export DB_PASS='test password'
• 持久化设置：可以把上述命令加到系统的配置文件（比如Linux的~/.bashrc/~/.zshrc，Windows的系统环境变量设置面板）。
• 用.env文件简化管理：
  安装python-dotenv库：pip install python-dotenv
  创建.env文件：

  DB_HOST=host
  DB_USER=uname
  DB_PASS=test password
  

  代码里读取：

  import mysql.connector
  import os
  from dotenv import load_dotenv
  
  # 加载.env文件中的环境变量
  load_dotenv()
  
  mydb = mysql.connector.connect(
    host=os.getenv("DB_HOST"),
    user=os.getenv("DB_USER"),
    password=os.getenv("DB_PASS")
  )
  

  重要：一定要把.env加入.gitignore，绝对不能提交到版本控制系统。

2. 使用加密的配置文件 #

如果需要把配置文件随项目管理（但仍要保护敏感信息），可以用带权限控制的普通配置文件，或配合加密工具使用：

示例（用configparser）： #

创建config.ini：

[database]
host = host
user = uname
password = test password

设置文件权限（Linux/macOS）：chmod 600 config.ini（仅当前用户可读）
代码读取：

import mysql.connector
import configparser

config = configparser.ConfigParser()
config.read('config.ini')

mydb = mysql.connector.connect(
  host=config['database']['host'],
  user=config['database']['user'],
  password=config['database']['password']
)

同样，要把config.ini加入.gitignore。

3. 使用密钥管理服务（生产环境推荐） #

如果是部署到云环境或企业级生产系统，用专业的密钥管理服务更安全，比如：

• HashiCorp Vault
• AWS Secrets Manager
• Azure Key Vault
• Google Cloud Secret Manager

这类服务会加密存储你的凭证，并且提供细粒度的访问控制，代码通过API调用获取凭证，无需在本地或代码中存储任何敏感信息。

注意事项 #

• 永远不要把硬编码的凭证提交到版本控制，检查现有代码仓库的提交历史，确保没有遗留敏感信息。
• 定期轮换数据库密码，尤其是在生产环境。

内容的提问来源于stack exchange，提问作者Matthew Wright