如何在应用启动时完成外部服务认证并加密敏感登录信息？

1. 用环境变量存敏感信息 #

• 把外部API的用户名、密码这类敏感内容从代码里删掉，放到系统环境变量里
• 代码里直接读环境变量拿值，比如Python里写os.getenv("EXTERNAL_API_USER")，Java里用System.getenv("EXTERNAL_API_PWD")
• 好处是敏感信息完全和代码库分开，不同环境（开发/测试/生产）可以配置不同的凭证，也不会不小心提交到git里

2. 用密钥管理服务托管敏感信息 #

• 生产环境建议用专门的密钥管理工具，比如HashiCorp Vault、云厂商的密钥服务（AWS Secrets Manager、阿里云密钥管理服务）
• 代码启动时调用这些服务的API，获取临时的解密后凭证，用完就销毁，不用自己存密钥
• 这类工具还能做权限控制、密钥自动轮转、操作审计，安全性更高

3. 加密本地配置文件 #

• 如果非得用配置文件，别明文写敏感字段，先把敏感值加密后再存
• 代码启动时，用从环境变量传入的密钥解密配置里的加密内容，得到可用的敏感信息
• 举个Python的简单例子：

  import os
  from cryptography.fernet import Fernet
  
  # 加密密钥从环境变量读取，不要硬编码
  encrypt_key = os.getenv("CONFIG_ENCRYPT_KEY")
  cipher = Fernet(encrypt_key)
  
  # 从配置文件读出加密后的密码，解密后使用
  encrypted_pwd = b"gAAAAABkFfX..."
  real_pwd = cipher.decrypt(encrypted_pwd).decode("utf-8")
  

4. 额外注意事项 #

• 一定要把配置文件、环境变量文件加到.gitignore里，防止敏感信息提交到代码仓库
• 开发、测试、生产环境的敏感信息要分开，不要共用一套凭证
• 定期轮换外部API的登录凭证，就算泄露了影响也小

内容的提问来源于stack exchange，提问作者WiteLine