Laravel中如何存储定期轮换的API密钥/密码？

1. 自定义配置加载器（实时拉取+本地缓存） #

无需依赖config:cache，在Laravel启动流程中动态拉取AWS Secrets Manager密钥，同时本地缓存一段时间（比如3小时，短于轮换周期），避免每次请求调用AWS API。

• 实现步骤：
  • 创建服务提供者SecretsServiceProvider，在register方法中处理密钥拉取与配置覆盖：

    <?php
    
    namespace App\Providers;
    
    use Illuminate\Support\ServiceProvider;
    use Aws\SecretsManager\SecretsManagerClient;
    use Illuminate\Support\Facades\Cache;
    
    class SecretsServiceProvider extends ServiceProvider
    {
        public function register()
        {
            $this->app->singleton('secrets', function ($app) {
                // 本地缓存3小时，到期自动拉取新密钥
                return Cache::remember('aws_secrets', 3600*3, function () {
                    $client = new SecretsManagerClient([
                        'region' => env('AWS_REGION'),
                        'version' => 'latest'
                    ]);
    
                    $secret = $client->getSecretValue([
                        'SecretId' => env('AWS_SECRET_ID')
                    ]);
    
                    return json_decode($secret['SecretString'], true);
                });
            });
    
            // 覆盖数据库等核心配置
            $secrets = $this->app->make('secrets');
            config(['database.connections.mysql.password' => $secrets['db_password']]);
            // 其他需要动态更新的配置同理
        }
    }
    

  • 在config/app.php中注册该服务提供者，确保它在数据库服务提供者之前加载。
  • 优势：无需缓存整个配置文件，仅缓存密钥；缓存到期自动更新，不会出现配置替换时的服务中断；本地缓存有效减少AWS API调用量。

2. 环境变量动态注入+进程软重启 #

如果部署环境支持动态注入环境变量（如AWS ECS、Kubernetes的Secret挂载，或AWS Parameter Store结合SSM Agent），可让环境变量实时同步，配合PHP-FPM的软重启机制，确保进程能获取最新密钥且不中断服务。

• 实现步骤：
  • 配置部署环境，将AWS Secrets Manager的密钥挂载为服务器/容器的环境变量（例如通过SSM Agent定期同步到本地环境变量文件）。
  • 配置PHP-FPM的pm.max_requests，让进程处理一定请求数后自动退出重启；或用定时任务执行php-fpm reload（软重启，不中断正在处理的请求），确保进程能加载最新环境变量。
  • 优势：无需修改Laravel核心代码，复用现有环境变量机制；软重启FPM不会影响正在处理的请求，完全满足高可用性要求。

3. 本地加密缓存文件+定时更新 #

创建本地加密的配置缓存文件，用定时任务定期从AWS拉取密钥并更新该文件，Laravel启动时直接加载此加密文件，替代config:cache的全量缓存。

• 实现步骤：
  • 编写Artisan命令secrets:cache，拉取密钥后加密写入本地文件：

    <?php
    
    namespace App\Console\Commands;
    
    use Illuminate\Console\Command;
    use Aws\SecretsManager\SecretsManagerClient;
    use Illuminate\Support\Facades\Crypt;
    
    class CacheSecrets extends Command
    {
        protected $signature = 'secrets:cache';
        protected $description = '缓存AWS密钥到本地加密文件';
    
        public function handle()
        {
            $client = new SecretsManagerClient([
                'region' => env('AWS_REGION'),
                'version' => 'latest'
            ]);
    
            $secret = $client->getSecretValue([
                'SecretId' => env('AWS_SECRET_ID')
            ]);
    
            $secrets = json_decode($secret['SecretString'], true);
            $encrypted = Crypt::encryptString(json_encode($secrets));
    
            file_put_contents(storage_path('app/secrets.cache'), $encrypted);
    
            $this->info('密钥缓存成功');
        }
    }
    

  • 在SecretsServiceProvider中读取加密文件并加载配置：

    public function register()
    {
        $cachePath = storage_path('app/secrets.cache');
        if (file_exists($cachePath)) {
            $encrypted = file_get_contents($cachePath);
            $secrets = json_decode(Crypt::decryptString($encrypted), true);
            config(['database.connections.mysql.password' => $secrets['db_password']]);
        } else {
            // 缓存文件不存在时的降级逻辑：直接调用AWS API拉取
            $client = new SecretsManagerClient([
                'region' => env('AWS_REGION'),
                'version' => 'latest'
            ]);
            $secret = $client->getSecretValue(['SecretId' => env('AWS_SECRET_ID')]);
            $secrets = json_decode($secret['SecretString'], true);
            config(['database.connections.mysql.password' => $secrets['db_password']]);
        }
    }
    

  • 设置定时任务每3小时执行一次secrets:cache，更新本地缓存文件。
  • 优势：本地加密存储，避免密钥明文泄露；定时更新不影响现有请求，Laravel启动时自动读取最新缓存；AWS服务临时不可用时，可依赖本地缓存维持服务运行。

核心注意事项 #

• 确保AWS Secrets Manager的访问权限配置最小化，避免权限泄露。
• 本地缓存的密钥必须加密存储，防止服务器被入侵后密钥泄露。
• 禁止在请求周期内实时拉取密钥，避免增加请求延迟，本地缓存是必要环节。

内容的提问来源于stack exchange，提问作者MatTheProgrammer