Python游戏开发中如何有效隐藏数据库/API密钥？

1. 环境变量+本地加密存储（兼顾开发便捷性与安全性） #

• 开发阶段将密钥存入系统环境变量，代码中通过os.getenv("STORAGE_ACCESS_KEY")读取，避免硬编码。
• 打包成exe后，放弃硬编码环境变量，改为让用户首次启动时输入密钥，随后将密钥加密存储在本地隐藏文件中。示例代码（基于cryptography库）：

  from cryptography.fernet import Fernet
  import os
  
  # 生成本地加密密钥（仅首次运行生成）
  if not os.path.exists(".local_secret"):
      local_key = Fernet.generate_key()
      with open(".local_secret", "wb") as f:
          f.write(local_key)
  else:
      with open(".local_secret", "rb") as f:
          local_key = f.read()
  
  cipher = Fernet(local_key)
  
  # 首次运行时获取并加密存储密钥
  if not os.path.exists(".encrypted_access"):
      user_key = input("请输入存储容器访问密钥：").encode()
      encrypted_key = cipher.encrypt(user_key)
      with open(".encrypted_access", "wb") as f:
          f.write(encrypted_key)
  
  # 运行时读取并解密密钥
  with open(".encrypted_access", "rb") as f:
      encrypted_key = f.read()
  access_key = cipher.decrypt(encrypted_key).decode()
  

2. 代码混淆加密（提升反编译门槛） #

• 使用pyarmor工具对Python代码进行混淆，它会将密钥等敏感字符串加密，程序运行时动态解密。操作流程：
  1. 安装pyarmor：pip install pyarmor
  2. 混淆游戏主脚本：pyarmor obfuscate your_game.py
  3. 用PyInstaller打包混淆后的脚本，而非原脚本。

3. 后端代理（最安全的根源性方案） #

• 不要让客户端直接持有存储容器的访问密钥，搭建一个轻量级后端服务（如FastAPI/Flask）作为中间层：
  • 客户端仅向你的后端发送请求（比如提交高分、获取排行榜）
  • 后端验证请求合法性后，使用自身存储的密钥调用在线存储容器的API
  • 客户端全程接触不到核心密钥，彻底避免泄露风险

4. 硬编码伪装（应急临时方案，不推荐长期使用） #

• 将密钥拆分为多个片段分散在代码不同位置，运行时再拼接：

  key_frag1 = "XyZ78"
  key_frag2 = "AbC34"
  key_frag3 = "DeF12"
  access_key = key_frag1 + key_frag2 + key_frag3
  

• 或用简单异或算法加密密钥，运行时解密：

  from itertools import cycle
  
  def xor_decrypt(ciphertext, key):
      return ''.join(chr(ord(c) ^ ord(k)) for c, k in zip(ciphertext, cycle(key)))
  
  # 提前加密后的密钥（原密钥用"temp_key"加密）
  encrypted_key = "r}v`]d^]c^g"
  access_key = xor_decrypt(encrypted_key, "temp_key")
  

  此方法仅能阻止初级反编译，安全性有限，适合临时应急。

内容的提问来源于stack exchange，提问作者404-No Social Skills Found