Python包中持久化存储用户CLI输入凭证的最佳方案咨询

针对你开发的Python包需要持久存储用户邮箱和密码凭证的需求，下面分析三种方案的优劣，并给出最佳实践：

1. 环境变量 #

• 好处：无需额外存储文件，系统原生支持，多数工具兼容；只要不写入shell配置文件，不会在磁盘留下明文。
• 问题：无法自动持久化——除非用户手动将变量添加到.bashrc/.zshrc等配置文件，但这样会暴露明文密码；每次新开终端都需重新设置，用户体验差；无法区分多环境或多用户的凭证。
• 适合场景：临时测试、CI/CD自动化场景，绝对不能作为用户日常使用的持久化方案。

2. 系统原生密码管理器（Keychain/Windows凭据管理器/libsecret） #

• 好处：安全性拉满，系统加密存储，不会泄露明文；系统重启后依然有效；支持多环境/用户隔离，部分还支持生物识别验证（如Touch ID）。
• 问题：需适配不同系统的API，但Python有现成的keyring库封装了这些差异，无需自行编写跨平台代码；少数用户可能对授权逻辑陌生，但系统默认通常允许应用正常访问。
• 适合场景：生产环境、对安全要求高的场景，这是首选方案。

3. $HOME目录下的本地文件 #

• 好处：实现简单，无需依赖外部服务；用户可直接找到存储位置，便于调试；可自定义加密逻辑。
• 问题：明文存储风险极高，任何能访问HOME目录的程序都可获取密码；加密存储则需额外管理密钥，最终仍需依赖环境变量或密码管理器；跨平台路径需自行适配（Windows为%USERPROFILE%，macOS/Linux为$HOME）。
• 适合场景：快速原型开发，或用户明确要求本地存储的场景，但绝不推荐作为默认方案。

具体实现建议 #

直接使用Python的keyring库对接系统密码管理器，结合CLI的代码示例如下：

import keyring
import click

@click.group()
def cli():
    pass

@cli.command()
@click.option('--email', required=True, help='用户邮箱')
@click.option('--password', required=True, prompt=True, hide_input=True, help='用户密码')
def auth(email, password):
    # 用你的包名作为服务标识，避免与其他工具冲突
    keyring.set_password("my_package", email, password)
    click.echo("凭证已成功保存")

# 后续调用时获取凭证的方法
def fetch_credentials(email):
    return keyring.get_password("my_package", email)

if __name__ == "__main__":
    cli()

若用户因特殊情况无法使用系统密码管理器，可额外提供本地加密存储作为备选：用AES加密密码后，存储到$HOME/.my_package/credentials这类隐藏文件中，密钥由用户自行设置或存入环境变量，但需明确告知用户该方式的安全风险。

环境变量仅适合临时使用，切勿作为持久化存储的默认选项。

内容的提问来源于stack exchange，提问作者Sadra