Slack自定义应用API集成如何在Slack框架内存储所需凭证

Slack官方没有提供可供第三方集成存储私有敏感变量的原生机制，也无法通过Slack用户数据表、工作区元数据等现有能力实现这类敏感密钥的存储需求，核心原因如下：

• Slack开放平台提供的所有存储相关能力，包括用户属性、对话元数据、应用安装数据等，本质都可以通过Slack API对外读取，只要持有对应应用的有效令牌就可以访问，完全达不到你要求的「仅在Slack框架内访问、外部不可读取」的安全标准
• Slack的开放架构定位是协作层，而非敏感数据加密存储服务，官方文档也明确提示所有第三方集成的敏感凭证、密钥需要由开发者自行在可信的存储服务中托管，禁止硬编码在应用代码或者上传到公开代码仓库

针对你当前使用Heroku + Node.js的技术栈，可以通过以下方式满足安全存储要求：

• Heroku本身提供了加密的配置变量（Config Vars）能力，存储的敏感值会被加密落盘，只有运行时的应用进程可以读取，Heroku的后台面板也仅对有对应团队权限的账号开放查看权限，默认不会对外暴露，完全可以满足绝大多数场景的安全要求。你可以直接把访问密钥存在Heroku的Config Vars里，Node.js运行时通过process.env.变量名读取即可，不用把密钥硬编码在代码里。你担心的「Heroku可在Slack外部被访问」的问题，只要做好账号权限管控、不要泄露Heroku账号或者应用令牌，就不会出现敏感值外泄的情况
• 如果确实需要更高安全级别的存储，可以额外接入第三方加密密钥管理服务，所有密钥在存入Heroku配置前先做对称加密，加密的主密钥单独托管，即使配置变量意外泄露也无法直接拿到明文密钥
• 所有敏感值都不要直接写在Node.js的代码文件、静态配置文件里，所有密钥类配置全部走环境变量注入，代码仓库里仅保留无敏感信息的示例配置文件即可

内容的提问来源于stack exchange，提问作者P. Kumar