WordPress/WooCommerce环境下Stripe密钥存储位置及加密情况问询

1. Stripe Secret Key 存储位置 #

• 密钥不会存储在插件或WordPress源码文件中，所有后台提交的Stripe配置均存储在站点数据库内
• 你无法搜索到stripe_secret_key独立字段的原因是：该版本Stripe插件的全部配置会打包为一个序列化数组，统一存储在wp_options表（如果你修改过WordPress表前缀，替换为对应前缀即可）中option_name为woocommerce_stripe_settings的记录里。你可以直接在phpMyAdmin中搜索该option_name的条目，反序列化对应option_value的内容即可提取到Secret Key取值。

2. 密钥加密处理情况 #

你使用的 WooCommerce 5.6.0、WordPress 5.8、Stripe支付网关插件5.3.0的组合环境下，Stripe插件默认未对存储的Secret Key做加密处理，数据库中存储的序列化数组内的密钥为明文格式。

安全优化建议 #

如果需要提升密钥存储安全性，可以直接在站点根目录的wp-config.php文件中添加以下代码定义密钥，该配置优先级高于数据库存储的配置，写入后数据库中存储的密钥会自动失效：

// 生产环境密钥
define( 'WC_STRIPE_LIVE_SECRET_KEY', '你的生产环境Secret Key' );
// 测试环境密钥
define( 'WC_STRIPE_TEST_SECRET_KEY', '你的测试环境Secret Key' );

内容的提问来源于stack exchange，提问作者richag