如何在Python脚本中隐藏MongoDB连接URL等敏感数据

以下是几种常用的实现方式，都可以避免连接URL明文出现在代码中：

方法1：使用环境变量（最通用推荐） #

• 本地开发时可以配合python-dotenv包实现，不会改动生产环境的读取逻辑
• 操作步骤：
  1. 安装依赖：pip install python-dotenv
  2. 在项目根目录新建.env文件，写入内容：MONGO_CONN_URL=你的实际MongoDB连接串
  3. 在项目的.gitignore文件中添加.env，避免该文件被提交到代码仓库
  4. 调整代码如下：

  from pymongo import MongoClient
  import os
  from dotenv import load_dotenv
  
  # 加载本地.env文件的环境变量，生产环境无该文件时也不会报错
  load_dotenv()
  url = os.getenv("MONGO_CONN_URL")
  cluster = MongoClient(url)
  db = cluster["priya"]
  chat = db["chat"]
  countm = db["countm"]
  passdb = db["pass"]
  

  5. 生产环境直接在运行的系统中配置MONGO_CONN_URL环境变量即可，不需要改动代码

方法2：使用独立配置文件 #

• 将敏感信息存放到单独的JSON/YAML/INI配置文件中，同样将该配置文件加入.gitignore不提交
• 以YAML配置为例：
  1. 安装依赖：pip install pyyaml
  2. 新建config.yaml文件，写入内容：

  mongo_conn_url: 你的实际MongoDB连接串
  

  3. 在.gitignore中添加config.yaml
  4. 调整代码如下：

  from pymongo import MongoClient
  import yaml
  
  with open("config.yaml", "r", encoding="utf-8") as f:
      config = yaml.safe_load(f)
  url = config["mongo_conn_url"]
  cluster = MongoClient(url)
  # 后续原有逻辑不变
  

方法3：生产环境使用专业密钥管理服务 #

如果是上线部署，可以直接使用部署平台自带的敏感信息管理能力：

• 容器部署可以用Docker Secrets、Kubernetes Secrets
• 云平台部署可以用对应云厂商的密钥管理服务（KMS）
• 所有敏感信息都在部署侧注入为环境变量，代码还是复用方法1的读取逻辑即可，完全不会出现明文敏感信息

注意事项 #

• 无论使用哪种方案，都必须将存储敏感信息的文件加入.gitignore，避免不小心提交到代码仓库泄露信息
• 不要在代码注释、日志中打印敏感的连接串信息

内容的提问来源于stack exchange，提问作者pavan