如何安全存储Gmail API凭证文件 不提交GitHub适配Heroku部署

本地开发阶段：防止敏感文件提交到GitHub #

• 第一步在项目根目录创建/修改.gitignore文件，把3份认证JSON文件的文件名、以及后续用到的本地环境变量文件加入忽略列表，示例配置：

  # 敏感认证文件
  token.json
  credentials.json
  gmail_api_config.json
  # 本地环境变量文件
  .env
  

  配置完成后git不会追踪上述文件，哪怕本地存了真实密钥也不会被提交到仓库。

Heroku部署阶段：敏感信息合规存储 #

Heroku部署时不会上传被.gitignore忽略的文件，所以不能依赖本地JSON文件读取配置，推荐用以下原生支持的方案，不需要引入额外第三方服务：

• 首选方案：使用Heroku Config Vars存储配置
  Heroku原生支持环境变量配置，所有敏感信息都可以存在Config Vars中，代码运行时可以直接读取，不会随代码仓库泄露：
  1. 你可以选择把JSON里的字段拆成独立的键值对（比如GMAIL_CLIENT_ID、GMAIL_CLIENT_SECRET、GMAIL_REFRESH_TOKEN等），逐个配置到Heroku应用的Config Vars页面；如果不想拆分字段，也可以直接把整份JSON的内容转成字符串，作为单个Config Var的值存储。
  2. 调整代码读取逻辑，优先从环境变量加载配置，本地开发时可以借助python-dotenv库读取本地.env文件存储的配置，本地和部署环境逻辑保持一致，示例Python端代码：

     import os
     import json
     from dotenv import load_dotenv
     
     # 本地开发自动加载.env文件，Heroku环境下无副作用
     load_dotenv()
     
     def load_auth_config():
         # 优先读取环境变量中的配置
         if os.getenv("GMAIL_AUTH_CONFIG"):
             return json.loads(os.getenv("GMAIL_AUTH_CONFIG"))
         # 本地未配置环境变量时，读取本地被git忽略的JSON文件，仅用于本地调试
         with open("credentials.json", "r", encoding="utf-8") as f:
             creds = json.load(f)
         with open("token.json", "r", encoding="utf-8") as f:
             token = json.load(f)
         with open("gmail_api_config.json", "r", encoding="utf-8") as f:
             gmail_config = json.load(f)
         # 按你原有逻辑合并配置即可
         return merge_configs(creds, token, gmail_config)
     

  重要提醒：所有涉及client_secret、access_token、refresh_token的逻辑必须放在Python后端实现，不要把这类敏感字段配置到Angular前端代码中——Angular打包后的代码会完全暴露给客户端，任何人都可以从前端资源里提取到密钥，造成安全风险。

• 备选方案：如果你的应用需要频繁更新认证配置，也可以把加密后的JSON文件存在Heroku自带的临时存储中，但不推荐长期使用——Heroku dyno重启会清空临时存储，还是会出现配置丢失的问题，Config Vars是最稳定的官方方案。

应急处理 #

如果之前已经误把敏感JSON提交到GitHub仓库，不要只删除当前版本的文件，git历史中仍然会留存记录，需要第一时间到Google Cloud控制台重置对应OAuth客户端的ID和密钥，避免凭证被滥用。

内容的提问来源于stack exchange，提问作者blazerchamp