如何在Visual Studio Code扩展开发中安全隐藏API密钥

首先明确核心原则：绝对不要将固定的私有API密钥打包进.vsix安装包。VS Code扩展本质是运行在用户本地的客户端程序，任何打包到安装包内的静态内容都可以被解压、逆向提取，不管做多少混淆加密，只要密钥本身是硬编码在包内的，就有泄露的可能，不存在100%的客户端隐藏方案。

• 方案1：新增中转后端做API转发（最安全） #

  所有Google Cloud API调用逻辑全部放在你自己管控的后端服务中，API密钥仅存储在你的后端，不对外暴露：

  1. VS Code扩展不再直接请求Google Cloud接口，而是将语音识别请求发到你自己的后端
  2. 后端用自己存储的API密钥调用Google Cloud Speech-to-Text接口，拿到结果后返回给扩展
  3. 你可以在后端自行添加请求管控规则，比如用户身份校验、请求频次限流、异常请求拦截，即使有人滥用扩展接口，也不会泄露原始API密钥，还能随时调整管控策略

• 方案2：引导用户自行配置个人API密钥（无后端成本） #

  如果你不想额外搭建后端服务，可以将密钥配置权完全交给扩展使用者：

  1. 在扩展的VS Code设置项中新增Google Cloud API密钥配置入口，要求用户首次使用前填入自己申请的API密钥，密钥会存储在用户本地的VS Code配置中，你不需要存储和处理任何自有密钥
  2. 扩展后续调用Google Cloud接口时，直接读取用户本地配置的密钥发起请求，完全不涉及你的私有密钥，自然不存在泄露风险
  3. 你可以在扩展的说明文档中补充Google Cloud API密钥的申请步骤，降低用户使用门槛

• 不建议使用的高风险方案 #

  如果你一定要让扩展直接调用Google Cloud接口，也不要选择以下方案：

  • 不要将密钥明文或简单对称加密后硬编码在扩展代码中，加密用的密钥同样会被从扩展代码中逆向提取，无法起到保护作用
  • 不要依赖代码混淆隐藏密钥字符串，现有逆向工具可以轻易从混淆后的JS/TS代码中提取出硬编码的固定字符串

提示：如果你的扩展是面向内部团队使用，也可以考虑在内部部署扩展分发服务，不对外公开.vsix安装包，配合内部账号校验进一步降低风险，但核心还是不要把密钥打包进安装包。

内容的提问来源于stack exchange，提问作者KimY