如何在代码仓库中隐藏敏感变量（含transform场景示例）

方法1：使用环境变量 #

直接从系统环境变量读取敏感值，彻底避免硬编码：

import os
x = os.getenv("SENSITIVE_VARIABLE")
# ...用x处理业务逻辑

设置环境变量的方式：

• Linux/macOS：终端执行 export SENSITIVE_VARIABLE="你的敏感内容"
• Windows：命令行执行 set SENSITIVE_VARIABLE="你的敏感内容"，PowerShell则用 $env:SENSITIVE_VARIABLE="你的敏感内容"

方法2：加密配置文件 #

将敏感参数存入加密后的配置文件，运行时解密读取：
以cryptography库为例：

from cryptography.fernet import Fernet

# 生成密钥（仅执行一次，务必妥善保存密钥）
# key = Fernet.generate_key()
# with open("secret.key", "wb") as key_file:
#     key_file.write(key)

# 读取密钥并解密配置
with open("secret.key", "rb") as key_file:
    key = key_file.read()
fernet = Fernet(key)

with open("encrypted_config.txt", "rb") as f:
    encrypted_data = f.read()
x = fernet.decrypt(encrypted_data).decode()
# ...用x处理业务逻辑

注意：密钥需单独存储，绝不能与代码、配置文件放在同一目录或提交到版本库。

方法3：全局变量管理（适合单进程场景） #

若坚持使用全局变量形式，可在项目初始化时从安全来源加载：

# 项目入口文件（如main.py）中初始化全局变量
import os
GLOBAL_HIDDEN_VARIABLE = os.getenv("SENSITIVE_VARIABLE")

# 在transform模块中导入使用
from main import GLOBAL_HIDDEN_VARIABLE
x = GLOBAL_HIDDEN_VARIABLE
# ...用x处理业务逻辑

核心注意事项 #

• 敏感信息绝对不能提交到Git等版本控制系统，需在.gitignore中添加环境变量文件、密钥文件、加密配置文件的路径。
• 禁止在日志中打印敏感参数，检查所有使用敏感值的代码，确保无日志输出逻辑。
• 分布式环境可考虑专用密钥管理工具，简单场景下环境变量或加密配置足以满足需求。

内容的提问来源于stack exchange，提问作者Max Magid