Python变量存储MongoDB用户名密码是否安全？如何保障凭证安全？

直接将数据库用户名、密码硬编码在Python代码中是完全不安全的，会带来极高的泄露风险：如果代码提交到Git仓库、打包到Docker镜像，任何能访问代码或者镜像的人员都可以直接获取到数据库明文权限，一旦泄露会直接威胁数据库数据安全。

针对你使用docker、docker-compose部署Python项目的场景，推荐按以下方案保障账号密码安全：

1. 首选方案：环境变量传递敏感信息 #

这是容器部署场景下通用性最强、实现最简单的安全方案，操作分两步：

• 第一步：修改Python代码，从运行环境的环境变量中读取敏感值，移除硬编码内容：

from pymongo import MongoClient
import os

# 敏感配置从环境变量读取，非敏感配置可以设置默认值
username = os.getenv('MONGO_USERNAME')
password = os.getenv('MONGO_PASSWORD')
host = os.getenv('MONGO_HOST', 'db.pattypatty.com')
port = os.getenv('MONGO_PORT', '27017')

connection_str = f'mongodb://{username}:{password}@{host}:{port}'
client = MongoClient(connection_str)

• 第二步：在docker-compose中配置环境变量，有两种安全的传递方式：
  • 本地开发/小型部署使用.env文件：
    在项目根目录新建.env文件写入敏感配置，必须将该文件加入.gitignore，避免提交到代码仓库：

    MONGO_USERNAME=pattypatty
    MONGO_PASSWORD=notrealpwd
    MONGO_HOST=db.pattypatty.com
    MONGO_PORT=27017
    

    然后在docker-compose.yml中直接引用变量即可，docker-compose会自动读取同目录下.env文件的内容：

    services:
      your-python-app:
        build: .
        environment:
          - MONGO_USERNAME
          - MONGO_PASSWORD
          - MONGO_HOST
          - MONGO_PORT
        # 其余服务配置省略
    

  • 生产环境部署可以使用宿主机系统环境变量传递：启动服务前先在宿主机导出对应环境变量，不需要本地保存.env文件，进一步降低配置泄露风险。

2. 高安全等级场景方案：机密管理工具 #

如果是企业级生产环境，对安全要求更高，可以使用专门的机密管理工具：

• 单机Docker部署可以使用Docker Secrets，敏感信息会被加密存储，只有授权的容器运行时才可以读取，不会以明文形式出现在任何配置文件或镜像中
• 集群部署场景可以使用集群自带的机密管理组件，或是第三方工具如HashiCorp Vault，实现敏感信息的全生命周期加密管理。

额外安全加固建议 #

• 数据库侧配置访问白名单，只允许Python项目部署的主机IP访问MongoDB服务端口，即使密码泄露也能缩小攻击范围
• 禁止在业务日志中打印MongoDB连接字符串、密码等敏感内容，避免日志泄露带来的安全风险
• 定期轮换MongoDB账号密码，降低长期泄露的可能性

内容的提问来源于stack exchange，提问作者Patrick