如何在Prisma ORM的DATABASE_URL中加密密码以避免明文暴露

1. 加密数据库密码 #

先写个简单的Node.js脚本，用crypto模块加密你的数据库明文密码：

const crypto = require('crypto');
const password = '你的明文数据库密码';
const key = crypto.randomBytes(32); // 生成32字节的AES-256密钥
const iv = crypto.randomBytes(16); // 生成16字节的初始化向量

// 执行加密
const cipher = crypto.createCipheriv('aes-256-cbc', key, iv);
let encrypted = cipher.update(password, 'utf8', 'hex');
encrypted += cipher.final('hex');

// 输出加密结果，将这些值存入.env文件
console.log(`ENCRYPTED_DB_PASSWORD=${encrypted}`);
console.log(`DB_ENCRYPTION_KEY=${key.toString('hex')}`);
console.log(`DB_IV=${iv.toString('hex')}`);

运行脚本后，把输出的三个值替换到你的.env文件中，同时将原有的DATABASE_URL改成不带密码的模板：

# 不带密码的URL模板，用@作为密码占位符
DATABASE_URL="postgresql://用户名:@数据库地址:端口/数据库名?schema=public"
ENCRYPTED_DB_PASSWORD=加密后的密码字符串
DB_ENCRYPTION_KEY=生成的十六进制密钥
DB_IV=生成的十六进制初始化向量

2. 动态构建解密后的数据库连接URL #

创建一个自定义的Prisma客户端实例文件（比如prisma/client.js），在其中完成密码解密并拼接完整连接URL：

const { PrismaClient } = require('@prisma/client');
const crypto = require('crypto');

// 从环境变量读取加密信息
const encryptedPassword = process.env.ENCRYPTED_DB_PASSWORD;
const key = Buffer.from(process.env.DB_ENCRYPTION_KEY, 'hex');
const iv = Buffer.from(process.env.DB_IV, 'hex');

// 解密密码
const decipher = crypto.createDecipheriv('aes-256-cbc', key, iv);
let decryptedPassword = decipher.update(encryptedPassword, 'hex', 'utf8');
decryptedPassword += decipher.final('utf8');

// 替换URL模板中的密码占位符
const databaseUrl = process.env.DATABASE_URL.replace('@', `:${decryptedPassword}@`);

// 创建并导出Prisma客户端实例
const prisma = new PrismaClient({
  datasources: {
    db: {
      url: databaseUrl,
    },
  },
});

module.exports = prisma;

之后项目中所有需要使用Prisma的地方，直接引入这个自定义的客户端实例即可。

3. 关键注意事项 #

• DB_ENCRYPTION_KEY和DB_IV必须妥善保管，绝对不能提交到代码仓库，建议用服务器环境变量或专业密钥管理服务存储。
• 若使用MySQL、MongoDB等其他数据库，只需调整DATABASE_URL的模板格式，解密逻辑完全通用。
• 服务重启时会重新执行解密操作，对性能无明显影响。

内容的提问来源于stack exchange，提问作者Cyril