如何在Oracle Datapump的dbms_datapump API中隐藏加密密码参数

一、隐藏/掩码ENCRYPTION_PASSWORD的方法 #

1. 借助操作系统环境变量 #

将密码存储在操作系统环境变量中，避免硬编码到PL/SQL代码里：

• Linux/Unix：在终端执行

  export DP_ENCRYPT_PWD="your_secure_password"
  

• Windows：在命令提示符执行

  set DP_ENCRYPT_PWD=your_secure_password
  

然后在PL/SQL中通过utl_file.getenv读取环境变量：

DECLARE
  h1 NUMBER;
  v_pwd VARCHAR2(100);
BEGIN
  -- 初始化导出任务
  h1 := dbms_datapump.open(operation => 'EXPORT', job_mode => 'SCHEMA', job_name => 'EXP_CRYPTO_JOB');
  
  -- 设置加密参数
  dbms_datapump.set_parameter(handle => h1, name => 'ENCRYPTION', value => 'ALL');
  
  -- 从环境变量读取密码
  v_pwd := utl_file.getenv('DP_ENCRYPT_PWD');
  dbms_datapump.set_parameter(handle => h1, name => 'ENCRYPTION_PASSWORD', value => v_pwd);
  
  -- 启动任务（按需添加其他导出配置，比如添加表、设置导出路径等）
  dbms_datapump.start_job(handle => h1);
END;
/

2. 使用PL/SQL绑定变量（SQL*Plus/SQL Developer） #

通过绑定变量输入密码，工具会自动掩码输入内容，代码中无明文：

1. 定义绑定变量

VAR pwd VARCHAR2(100)

2. 输入密码（输入时密码会被掩码）

EXEC :pwd := 'your_secure_password';

3. 执行Datapump导出代码

DECLARE
  h1 NUMBER;
BEGIN
  h1 := dbms_datapump.open(operation => 'EXPORT', job_mode => 'SCHEMA', job_name => 'EXP_CRYPTO_JOB');
  dbms_datapump.set_parameter(handle => h1, name => 'ENCRYPTION', value => 'ALL');
  -- 使用绑定变量传递密码
  dbms_datapump.set_parameter(handle => h1, name => 'ENCRYPTION_PASSWORD', value => :pwd);
  dbms_datapump.start_job(handle => h1);
END;
/

二、从数据库获取ENCRYPTION_PASSWORD的实现 #

可以通过变量从数据库获取，但必须加密存储密码，不能明文存储，否则无法达到安全效果：

1. 创建加密存储密码的表 #

CREATE TABLE datapump_secrets (
  secret_name VARCHAR2(50) PRIMARY KEY,
  encrypted_secret RAW(2000),
  -- 建议密钥不从表读取，改用环境变量或其他安全存储
  encryption_key RAW(128)
);

2. 加密并插入密码到表中 #

DECLARE
  v_raw_pwd RAW(128) := utl_raw.cast_to_raw('your_secure_password');
  -- 主密钥建议从环境变量读取，此处为示例
  v_key RAW(128) := utl_raw.cast_to_raw('your_aes256_key');
  v_encrypted RAW(2000);
BEGIN
  -- 使用AES256加密密码
  v_encrypted := dbms_crypto.encrypt(
    src => v_raw_pwd,
    typ => dbms_crypto.encrypt_aes256 + dbms_crypto.chain_cbc + dbms_crypto.pad_pkcs5,
    key => v_key
  );
  
  INSERT INTO datapump_secrets (secret_name, encrypted_secret, encryption_key)
  VALUES ('DP_ENCRYPT_PWD', v_encrypted, v_key);
  COMMIT;
END;
/

3. 在Datapump代码中解密获取密码 #

DECLARE
  h1 NUMBER;
  v_encrypted RAW(2000);
  v_key RAW(128);
  v_raw_pwd RAW(128);
  v_pwd VARCHAR2(100);
BEGIN
  -- 从表中读取加密密码和密钥（实际建议密钥从环境变量取）
  SELECT encrypted_secret, encryption_key INTO v_encrypted, v_key
  FROM datapump_secrets WHERE secret_name = 'DP_ENCRYPT_PWD';
  
  -- 解密密码
  v_raw_pwd := dbms_crypto.decrypt(
    src => v_encrypted,
    typ => dbms_crypto.encrypt_aes256 + dbms_crypto.chain_cbc + dbms_crypto.pad_pkcs5,
    key => v_key
  );
  v_pwd := utl_raw.cast_to_varchar2(v_raw_pwd);
  
  -- 执行Datapump导出
  h1 := dbms_datapump.open(operation => 'EXPORT', job_mode => 'SCHEMA', job_name => 'EXP_CRYPTO_JOB');
  dbms_datapump.set_parameter(handle => h1, name => 'ENCRYPTION', value => 'ALL');
  dbms_datapump.set_parameter(handle => h1, name => 'ENCRYPTION_PASSWORD', value => v_pwd);
  dbms_datapump.start_job(handle => h1);
END;
/

注意：主密钥不要存储在数据库表中，建议从操作系统环境变量或专门的密钥管理系统获取，进一步提升安全性。

内容的提问来源于stack exchange，提问作者Muthu