DApp开发：如何安全存储与检索私钥？

首先明确核心原则：绝对不能在前端代码（包括HTML/JS文件、localStorage、sessionStorage等前端存储）里存放私钥，因为前端代码对所有用户完全可见，只要能被前端JS获取到的私钥，就等于直接暴露给攻击者，你的账户会面临被盗风险。

下面分两种场景给出具体解决方案：

一、无后端服务的场景（纯前端） #

这种情况下，你不能自己持有私钥，必须把交易签名的操作交给用户的加密钱包（比如MetaMask）来完成，私钥始终保存在用户钱包内部，不会泄露到你的代码里。

修改后的代码示例（用MetaMask签名交易）：

async function sendCustomToken() {
  // 检查是否安装了MetaMask
  if (!window.ethereum) {
    alert("请先安装MetaMask钱包");
    return;
  }

  const web3 = new Web3(window.ethereum);
  try {
    // 请求用户授权连接钱包
    await window.ethereum.request({ method: 'eth_requestAccounts' });
    const senderAddress = (await web3.eth.getAccounts())[0];

    // 构建ERC20代币转账的交易数据（替换成你的代币ABI和地址）
    const ERC20_ABI = [/* 你的代币合约ABI */];
    const TOKEN_ADDRESS = "0x..."; // 你的代币合约地址
    const userAddress = "0x..."; // 接收代币的用户地址
    const tokenAmount = web3.utils.toWei("10", "ether"); // 转账数量（根据代币小数位数调整）

    const tokenContract = new web3.eth.Contract(ERC20_ABI, TOKEN_ADDRESS);
    const txData = tokenContract.methods.transfer(userAddress, tokenAmount).encodeABI();

    // 组装交易参数
    const txParams = {
      from: senderAddress,
      to: TOKEN_ADDRESS,
      data: txData,
      gas: await tokenContract.methods.transfer(userAddress, tokenAmount).estimateGas(),
      gasPrice: await web3.eth.getGasPrice()
    };

    // 调用用户钱包签名并发送交易
    const txReceipt = await web3.eth.sendTransaction(txParams);

    // 交易完成后的后续操作
    getTokenBalanceOf(userAddress).then(balance => {
      console.log(`${userAddress} Token Balance: ${balance}`);
    });
    addCustomTokensToUsersMetaMask();
    customTokenTransferCompleted();
  } catch (error) {
    console.error("交易失败：", error);
  }
}

二、有后端服务的场景 #

如果必须用你自己的账户发送代币，私钥必须存放在后端，前端只负责传递交易参数，由后端完成签名和发送。

1. 后端私钥存储与API实现（以Node.js/Express为例） #

• 私钥存在环境变量里，不要写在代码中，也不要提交到版本控制。可以用dotenv工具加载环境变量，创建.env文件并加入.gitignore。
• 后端要加身份验证，防止恶意调用接口。

后端代码示例：

require('dotenv').config();
const Web3 = require('web3');
const express = require('express');
const app = express();
app.use(express.json());

// 连接区块链节点（替换成你的节点URL，比如Infura、Alchemy）
const web3 = new Web3(new Web3.providers.HttpProvider(process.env.BLOCKCHAIN_NODE_URL));

// 身份验证中间件：验证请求的API密钥
const authMiddleware = (req, res, next) => {
  const apiKey = req.headers['x-api-key'];
  if (apiKey !== process.env.FRONTEND_API_KEY) {
    return res.status(401).json({ error: "未授权访问" });
  }
  next();
};

// 发送代币的API接口
app.post('/api/send-token', authMiddleware, async (req, res) => {
  const { userAddress, tokenAmount } = req.body;
  const privateKey = process.env.WALLET_PRIVATE_KEY;
  const senderAddress = web3.eth.accounts.privateKeyToAccount(privateKey).address;

  try {
    // 替换成你的代币ABI和地址
    const ERC20_ABI = [/* 代币合约ABI */];
    const TOKEN_ADDRESS = process.env.TOKEN_CONTRACT_ADDRESS;

    const tokenContract = new web3.eth.Contract(ERC20_ABI, TOKEN_ADDRESS);
    const txData = tokenContract.methods.transfer(userAddress, tokenAmount).encodeABI();

    // 组装原始交易
    const rawTx = {
      from: senderAddress,
      to: TOKEN_ADDRESS,
      data: txData,
      gas: await tokenContract.methods.transfer(userAddress, tokenAmount).estimateGas(),
      gasPrice: await web3.eth.getGasPrice(),
      nonce: await web3.eth.getTransactionCount(senderAddress, 'pending')
    };

    // 后端用私钥签名交易
    const signedTx = await web3.eth.accounts.signTransaction(rawTx, privateKey);
    // 发送签名后的交易到区块链
    const txReceipt = await web3.eth.sendSignedTransaction(signedTx.rawTransaction);

    res.json({ success: true, txHash: txReceipt.transactionHash });
  } catch (error) {
    res.status(500).json({ success: false, error: error.message });
  }
});

// 启动后端服务
const PORT = process.env.PORT || 3000;
app.listen(PORT, () => console.log(`后端服务运行在端口 ${PORT}`));

2. 前端调用后端接口的代码 #

前端通过HTTP请求把交易参数传给后端，不需要接触私钥：

async function sendTokenViaBackend() {
  const userAddress = "0x..."; // 接收地址
  const tokenAmount = web3.utils.toWei("10", "ether"); // 转账数量

  try {
    const response = await fetch('http://你的后端地址/api/send-token', {
      method: 'POST',
      headers: {
        'Content-Type': 'application/json',
        'x-api-key': '你的前端API密钥' // 注意：如果是用户登录场景，建议用JWT替代固定API密钥
      },
      body: JSON.stringify({ userAddress, tokenAmount })
    });

    const result = await response.json();
    if (result.success) {
      console.log("交易哈希：", result.txHash);
      // 交易完成后的后续操作
      getTokenBalanceOf(userAddress).then(balance => {
        console.log(`${userAddress} Token Balance: ${balance}`);
      });
      addCustomTokensToUsersMetaMask();
      customTokenTransferCompleted();
    } else {
      console.error("交易失败：", result.error);
    }
  } catch (error) {
    console.error("请求后端接口失败：", error);
  }
}

关键注意事项 #

• 前端永远不要处理私钥，任何前端存储方式（包括加密存储）都不安全，因为攻击者可以通过调试工具获取到解密后的私钥。
• 后端存储私钥时，除了环境变量，还可以考虑用专业的密钥管理服务（如AWS KMS、Google Cloud KMS）进一步提高安全性。
• 不管哪种方案，都要对交易参数做合法性校验（比如接收地址格式是否正确、转账金额是否在余额范围内等）。

内容的提问来源于stack exchange，提问作者Selene