如何在数据库中存储Windows 10、Steam等产品的许可证密钥

你对哈希方案的判断是正确的，单向哈希只能用于一致性校验，无法还原明文，完全不满足你需要给用户展示明文密钥的需求。以下是两类场景的可行方案：

数据库存储场景的密钥保护方案 #

• 采用AES-256-GCM这类带完整性校验的对称加密算法处理明文密钥，用于加密密钥的KEK（密钥加密密钥）绝对不能和业务数据存在同一数据库中，建议存储在独立的密钥管理服务（KMS）或者严格限制访问权限的本地配置文件中，只有核心业务服务进程有权限读取。需要给用户展示明文时，实时调用KMS接口获取KEK做解密，解密后的明文仅在内存中暂存，返回给用户后立即销毁内存副本，禁止明文、KEK落业务库。
• 配置最小化数据库权限：存储加密后密钥的表仅开放给必要的业务账号读写权限，所有密钥访问接口禁止批量查询，每次单条查询都留全量审计日志，记录访问账号、访问时间、关联的用户ID和订单ID。
• 额外加盐混淆：给每个许可证密钥生成独立的随机盐值，盐值和加密后的密钥分开存储在不同的库/表中，就算单表被拖库也无法单独完成解密。

不使用数据库存储的可行方案 #

• 离线批次加密存储：如果你的许可证是预先采购的固定批次，无需动态生成，可以将全量密钥加密打包为独立加密文件，存储在权限隔离的对象存储服务中，加密文件的解密密码存入KMS。用户付款后，业务服务仅需要根据订单匹配对应的批次和密钥序号，解密取出单条密钥返回即可，本地业务库仅需要存储密钥批次、序号、归属用户ID、订单信息，不需要存储任何密钥明文或密文。
• 对接发行方实时获取：如果是和微软、Steam等官方有合作的正规代销场景，可以直接调用对方的许可证发放接口，用户付款后实时请求官方接口返回明文密钥给用户，你本地仅需要存储官方返回的许可证关联ID、用户ID、订单信息即可，完全不需要存储密钥本身，从根源上规避密钥泄露风险。
• 客户端本地加密托管：如果是内部使用的许可证管理场景，可以要求管理员上传密钥时，在本地用自定义密码加密后再上传，服务端仅存储密文，后续需要查看时必须输入专属密码在客户端侧解密，服务端全程无法获取明文密钥。

注意：所有方案都需要配置多因子身份校验和权限隔离，禁止给普通开发、运营账号开通密钥查看权限，用户端仅在付款成功页展示一次明文密钥，后续用户找回密钥必须经过二次身份校验才能提供。

内容的提问来源于stack exchange，提问作者scryptlab