如何设计无状态安全方案实现支持临时密码访问的受保护资源

核心设计思路 #

针对无状态、无明文密码存储的要求，核心采用两个设计规避现有方案的缺陷：

1. 过期逻辑放弃主动定时触发，改为访问时实时校验，彻底取消对本地定时任务的依赖，实现完全无状态
2. 密码采用「对称加密存储+不可逆哈希校验」双存模式，兼顾所有者回溯密码分享的需求和密码存储安全要求

新增中间表设计 #

新增element_access_passwords表关联资源和访问密码，支持单资源多密码配置，字段如下：

• id 主键
• element_id 关联目标资源ID，非空
• creator_id 关联资源创建者ID，非空
• encrypted_password AES-256对称加密后的明文密码，非空，加密密钥存储在应用服务的环境变量中，不入库、不提交到代码仓库
• password_hash 采用bcrypt/Argon2不可逆算法生成的密码哈希值，非空，用于访问时的密码正确性校验
• expired_at 密码过期时间戳，非空，支持永久有效配置（可固定设置为9999-12-31 23:59:59）
• is_enabled 布尔类型，默认true，用于手动关闭密码访问权限
• created_at 记录创建时间
• updated_at 记录更新时间

核心业务流程实现 #

密码创建流程 #

1. 资源所有者自定义/系统生成访问密码，设置对应过期时间
2. 应用层读取环境变量中的加密密钥，对明文密码做AES-256加密得到encrypted_password
3. 用bcrypt/Argon2对明文密码生成不可逆哈希得到password_hash
4. 将所有参数写入中间表即可，无需启动任何定时任务

资源访问校验流程 #

1. 请求访问visibility = 'protected'的资源时，先查询该资源下所有is_enabled = true且expired_at > 当前时间的password_hash列表
2. 对用户输入的访问密码生成哈希，和列表中的哈希逐一比对，匹配成功即可放行

过期判断为实时计算，无需预先修改记录状态，完全不依赖服务本地状态，实例扩容、销毁都不会影响逻辑正确性

密码分享/查看流程 #

1. 资源所有者请求查看当前资源的可用访问密码时，应用层查询对应encrypted_password字段
2. 用环境变量中的密钥解密为明文后返回给所有者，即可直接用于分享

手动关闭密码权限流程 #

资源所有者选择要禁用的密码，直接将对应记录的is_enabled字段设为false即可即时生效

安全说明 #

• 无明文密码存储：数据库中仅存储加密后的密码和不可逆哈希，无任何明文密码记录
• 拖库风险防护：对称加密密钥和数据库完全隔离存储，即使数据库泄露，没有密钥也无法解密得到明文密码；不可逆哈希无法逆向还原原密码，不会出现密码泄露导致的资源暴露问题
• 完全无状态：所有业务逻辑均在请求链路中实时计算，不依赖本地定时任务，完全适配云原生多实例部署模式

可选优化 #

如果担心过期的无效记录占用存储空间，可以每月触发一次离线异步任务清理expired_at < 当前时间且超过30天的历史记录，离线任务不影响主服务的无状态特性，即使任务执行失败也不会干扰正常的访问校验逻辑。

内容的提问来源于stack exchange，提问作者LeoDevSecOps