将第三方 api 密钥存储在谷歌云环境变量中是否安全？或不？

Question

我不确定我是否误解了某些内容，或者 Firebase 文档是否自相矛盾。

这里似乎建议将 api 密钥存储在 env 变量中： https://firebase.google.com/docs/functions/config-env 例如，要存储“某些服务”的客户端 ID 和 API 密钥，您可以运行： firebase 函数：config:set someservice.key="THE API KEY" someservice.id="THE CLIENT ID"

但这里似乎说永远不要这样做： https://firebase.google.com/support/guides/security-checklist#cloud_function_safety 云功能安全 切勿将敏感信息放入 Cloud Function 的环境变量中 通常在自托管 Node.js 应用程序中，您使用环境变量来包含敏感信息，例如私钥。不要在 Cloud Functions 中执行此操作。

Answer 1

正确答案不止一个。通常，以纯文本形式存储关键/机密数据是一个坏主意。最好使用专门的服务来存储秘密，例如secret manager。

但是，您可以想象这些用例：

• 您的部署是自动的，没有人可以访问您的 Cloud Functions 参数（和 env var） -> 即使在 Cloud Functions env var 中以纯文本形式保存您的秘密
• 您的机密存储在机密管理器中，但所有团队成员（以及更多）都具有机密管理器访问者角色，每个人都可以以纯文本形式浏览和查看机密。 -> 即使您使用秘密管理器，您的 IAM 角色策略也会破坏秘密的安全性和机密性，它对所有人都是公开的！

从全局考虑安全性。有最佳实践，但如果您只关注一个主题，您可能会在旁边制造更大的漏洞！