Node.js SSH部署应用：加密存储、远程部署与监控疑问

我用Node.js开发了一款支持SSH或Docker的部署应用，当前针对SSH场景，会收集ssh_host、ssh_user、remote path、ssh_key这些信息，通过crypto加密后存入数据库，并且在UI编辑时对输入值做掩码显示（示例：111.11.111.111、user、var/www/、key!）。本地测试已经正常运行，现在有三个问题想咨询：

1. 此类信息的加密存储是否属于最佳实践？
2. 该应用能否进行远程部署并对外提供服务？
3. 仪表盘模块能否获取远程服务器的RAM使用率等监控数据？

以下是我使用的加密解密代码：

import crypto from "crypto";

const ALGORITHM = "aes-256-cbc";
const SECRET_KEY = process.env.ENCRYPTION_KEY!;
const IV_LENGTH = 16;

function getKey() {
  return crypto.createHash("sha256").update(SECRET_KEY).digest();
}

export function encrypt(text: string) {
  const iv = crypto.randomBytes(IV_LENGTH);

  const cipher = crypto.createCipheriv(ALGORITHM, getKey(), iv);

  let encrypted = cipher.update(text, "utf8", "hex");
  encrypted += cipher.final("hex");

  return iv.toString("hex") + ":" + encrypted;
}

export function decrypt(text: string) {
  const [ivHex, encryptedText] = text.split(":");

  const iv = Buffer.from(ivHex, "hex");

  const decipher = crypto.createDecipheriv(ALGORITHM, getKey(), iv);

  let decrypted = decipher.update(encryptedText, "hex", "utf8");
  decrypted += decipher.final("utf8");

  return decrypted;
}

问题解答 #

1. 此类信息的加密存储是否属于最佳实践？ #

你的加密方案方向正确，接近最佳实践，但细节上仍有优化空间：

• 合规优点：采用AES-256-CBC强对称算法、随机IV避免明文重复加密出相同密文、通过SHA256处理密钥保证符合AES-256长度要求，这些都是敏感数据加密的标准操作；加密存储SSH密钥、主机信息，能避免数据库泄露后直接暴露核心凭证，这一步是必须的。
• 待优化点：
  • 密钥管理：当前依赖环境变量存ENCRYPTION_KEY，多实例部署时要保证密钥一致；更安全的方式是用专业密钥管理服务存储密钥，避免密钥暴露在环境变量或代码仓库中。
  • 密钥轮换：需制定密钥轮换机制，在密钥泄露或到期时，能平滑切换新密钥并兼容解密旧数据。
  • 权限限制：限制解密逻辑的访问范围，比如仅让执行部署操作的模块拥有解密权限，而非全应用可调用。

2. 该应用能否进行远程部署并对外提供服务？ #

可以，但需做好安全与部署配置：

• 安全配置：
  • 加身份认证与授权机制，仅允许有权限的用户操作部署功能，防止未授权访问。
  • 强制使用HTTPS传输，避免敏感数据在网络中被窃听或篡改。
  • 限制应用网络访问范围，比如仅开放特定IP段访问，或部署在私有网络通过反向代理对外服务。
  • 定期更新Node.js及依赖包，修复已知安全漏洞。
• 部署配置：
  • 选择适配的托管平台（云服务器、容器平台），保证资源支撑应用运行。
  • 用平台自带的密钥管理功能存储ENCRYPTION_KEY等敏感变量，禁止提交到代码仓库。
  • 配置日志与监控，记录部署操作与异常情况，方便排查问题。

3. 仪表盘模块能否获取远程服务器的RAM使用率等监控数据？ #

可以实现，主要有两种方式：

• SSH执行系统命令：利用已存储的SSH凭证连接远程服务器，执行对应命令获取数据：
  • Linux服务器可执行free -m（内存使用）、top -bn1（CPU/内存综合数据）、df -h（磁盘使用）等，解析命令输出得到指标。
  • Windows服务器可执行wmic os get TotalVisibleMemorySize,FreePhysicalMemory等命令。
• 部署监控代理：在远程服务器部署轻量监控代理（如Prometheus Node Exporter），应用通过HTTP接口获取代理暴露的标准化监控指标，这种方式比执行命令更高效稳定。
• 注意事项：确保SSH用户有执行对应命令的权限；做好异常处理，比如远程服务器离线、命令执行失败等场景，避免影响仪表盘正常运行。

内容的提问来源于stack exchange，提问作者Vicky