将PPK密钥文件路径硬编码到应用程序中是否存在安全风险？

首先明确：哪怕你只发布编译后的闭源程序，硬编码密钥路径、使用统一共享密钥的方案也没有任何安全保障，任意拿到程序的用户都可以轻松提取出所有认证信息访问你的服务器，原因如下：

• 你用的是.NET技术栈开发的程序，属于托管代码，用dnSpy、ILSpy这类免费的反编译工具可以几乎无损还原出你的代码逻辑，所有硬编码的常量包括服务器Host、端口、用户名、密钥固定路径都会被直接提取，和直接开源没有本质区别，哪怕你加了代码混淆，字符串常量也可以通过内存dump、动态调试的方式轻松拿到。
• 如果你选择把密钥文件一起打包到程序安装包、或者要求用户将统一的密钥放到你硬编码的路径下，那么所有用户都可以直接获取到完整的私钥文件，不需要你的程序就能用任意SFTP客户端登录你的服务器，对你的/home/ubuntu目录进行任意读写、删除、篡改操作。
• 就算你没有打包密钥，只是硬编码了路径，只要有一个用户的密钥泄露，所有使用同一份共享密钥的服务器资源都会直接暴露。

• 放弃使用全局统一的共享密钥，改为每个用户使用自己独立的SSH密钥/账号凭证登录服务器，服务器端给每个用户分配最小必要权限，仅开放其个人目录的读写权限，避免单个用户泄露影响全局。
• 如果一定要简化用户操作，不要将私钥放在固定明文路径，第一次启动时引导用户导入自己的私钥，存储到系统原生的加密凭证区（比如Windows的凭据管理器、macOS的钥匙串），不要明文落盘。
• 不要直接将SFTP端口暴露给客户端，中间新增一层业务API服务，客户端仅通过API进行上传下载操作，所有SFTP操作都在你自己可控的API服务端完成，私钥永远保存在服务端不流出，API侧补充权限校验、操作审计、流量风控能力，彻底避免客户端接触到服务器认证信息。

内容的提问来源于stack exchange，提问作者Jungle Zee