Flask项目将敏感配置存入自定义Secrets类的方案是否可行？

方案评估 #

你的思路基本可行，核心的「把敏感配置单独存放在不入版控的文件中」的逻辑符合安全规范，但现有代码存在小错误，同时有可优化的空间：

1. 现有代码的可运行性问题 #

你在secret.py中定义的类名为Secrets，但在app.py中导入时写的是from secret import Secret，类名不匹配，运行时会直接抛出导入错误，需要先修正命名一致性问题。

2. 方案的合理性验证 #

把存储敏感信息的secret.py加入.gitignore，避免密钥、数据库地址等敏感信息上传到代码仓库泄露，这个核心逻辑完全符合Flask配置的安全规范，个人小型项目完全可以正常使用。

3. 可优化的点 #

• 不需要额外封装类，直接用全局变量更简洁：
  secret.py可以简化为：

SECRET_KEY = "你生成的强随机密钥"
SQLALCHEMY_DATABASE_URI = "你的数据库连接地址"

app.py中直接导入使用即可：

from secret import SECRET_KEY, SQLALCHEMY_DATABASE_URI
from flask import Flask

app = Flask(__name__)
app.config['SQLALCHEMY_DATABASE_URI'] = SQLALCHEMY_DATABASE_URI
app.config['SECRET_KEY'] = SECRET_KEY

• 建议增加配置缺失的兜底逻辑，比如导入失败时抛出明确的报错，避免上线时因为配置文件缺失导致莫名其妙的启动失败。
• 如果是需要部署的生产项目，更推荐用环境变量存储敏感信息，通过os.getenv()读取，适配容器化部署场景的同时进一步降低配置泄露的风险。
• 不要在代码里写死弱密钥，生产环境的SECRET_KEY建议用secrets.token_hex(16)生成的强随机字符串。

内容的提问来源于stack exchange，提问作者MaoMaoCake