Python文件密码隐藏加密方案咨询：避免硬编码及明文打印泄露风险

环境变量存储方案 #

• 把凭据存在操作系统的环境变量里，代码运行时动态读取，不会出现在代码仓库或源码中
• 本地开发可配合.env文件存储凭据，把.env加入.gitignore避免误提交，用python-dotenv库读取文件内容到环境变量
• 读取示例代码：

import os
from dotenv import load_dotenv

# 仅本地开发时加载.env文件，生产环境直接用系统环境变量
load_dotenv()
db_user = os.getenv("DB_USER")
db_pwd = os.getenv("DB_PWD")

• 注意：不要在代码中直接打印、日志输出环境变量读取结果，日志配置中要增加敏感字段过滤规则

Keyring库安全增强方案 #

针对Keyring可直接获取明文的问题，可做两层防护：

• 调用get_password获取凭据后，仅在需要传入数据库连接方法的位置直接使用，不赋值给可被全局访问的变量，用完立即销毁变量
• 重写Keyring的获取逻辑，封装成仅返回连接对象的方法，不对外暴露明文凭据，示例：

import keyring
import psycopg2

def get_db_conn():
    # 凭据仅在函数内部临时存在，不会返回给上层调用方
    user = keyring.get_password("my_app", "db_user")
    pwd = keyring.get_password("my_app", "db_pwd")
    conn = psycopg2.connect(user=user, password=pwd, host="127.0.0.1", port="5432", dbname="mydb")
    # 销毁临时变量
    del user, pwd
    return conn

敏感值包装防打印方案 #

自定义敏感字符串类，覆盖__str__和__repr__方法，避免直接打印时输出明文，示例：

class SecretStr:
    def __init__(self, value: str):
        self._value = value
    
    def get_secret_value(self) -> str:
        # 只有明确调用该方法时才能获取明文
        return self._value
    
    def __str__(self) -> str:
        return "[SECRET_MASKED]"
    
    def __repr__(self) -> str:
        return "SecretStr('[SECRET_MASKED]')"

# 使用示例
db_pwd = SecretStr(os.getenv("DB_PWD"))
print(db_pwd) # 输出 [SECRET_MASKED]
# 仅在传入连接方法时调用获取明文
conn = psycopg2.connect(password=db_pwd.get_secret_value())

生产环境高阶方案 #

• 生产环境优先使用云服务商提供的凭据管理服务，运行时动态拉取临时凭据，自动过期轮转
• 数据库连接优先使用IAM身份认证、证书认证替代固定密码鉴权，从根源上消除固定密码泄露风险

注意：所有方案都无法完全阻止有服务器root权限、进程调试权限的人员获取凭据，安全方案的核心是缩小凭据的可见范围、缩短凭据的生命周期，降低泄露风险。

内容的提问来源于stack exchange，提问作者Borgesj