Node.js程序部署托管平台时如何向托管方隐藏Binance API密钥

• 最小权限兜底：在币安API创建页面，仅勾选机器人实际运行必需的权限，绝对不要开启提现、资产划转类权限，即使密钥泄露，攻击者也无法转移你的账户资产，最多触发异常交易，你可直接关停对应API止损。
• 环境变量存储密钥：不要将API密钥硬编码到代码、配置文件中，也不要提交到代码仓库。以Heroku为例，直接在平台后台的配置页面设置自定义环境变量，Node.js代码中通过process.env.BINANCE_API_KEY、process.env.BINANCE_API_SECRET读取即可，平台会对环境变量做加密存储，普通运维人员无权限直接查看明文。
• 密钥二次加密：本地使用AES等对称加密算法对API明文密钥进行加密，仅将加密后的密文配置到托管平台的环境变量中，解密密钥仅由你本人掌握。机器人启动时需要你手动输入解密密钥，将API密钥解密后仅保存在内存中使用，即使平台管理者拿到加密密文，没有解密密钥也无法还原出原始密钥。
• 绑定IP白名单：提前查询你所用托管平台的出口IP段，将所有IP添加到币安API的白名单中，非白名单IP即使拿到密钥也无法调用你的API接口。
• 定期轮换密钥：不要创建永久有效的API密钥，设置1-3个月的有效期，到期后直接在币安后台更换新密钥，控制泄露后的风险影响时长。

提示：免费托管平台本身存在服务不稳定、资源配额受限的问题，不建议用于运行涉及大额资产的交易机器人，上述方案仅能降低密钥泄露风险，无法做到100%绝对安全，资产量级较高时优先选择合规云服务器或自建低功耗物理机运行。

内容的提问来源于stack exchange，提问作者rabolon