如何在 Strapi 中安全地设置数据库密码？

Question

Strapi 框架（据我所知）要求在启动时提供数据库密码。通常，密码在database.js 文件中指定，如下所示：

module.exports = ({ env }) => ({
  defaultConnection: 'default',
  connections: {
    default: {
      connector: 'bookshelf',
      settings: {
        client: 'postgres',
        host: '/cloudsql/myDatabaseInstanceName',
        database: 'databaseName',
        username: 'databaseUsername',
        password: 'databasePassword',
      },
    },
  },
});

这当然不是很安全，因为 database.js 文件通常会提交到 repo。

因此，有些人将密码注入database.js文件，而不是将其存储为环境变量：

module.exports = ({ env }) => ({
  defaultConnection: 'default',
  connections: {
    default: {
      connector: 'bookshelf',
      settings: {
        client: 'postgres',
        host: `/cloudsql/${env('INSTANCE_CONNECTION_NAME')}`,
        database: env('DATABASE_NAME'),
        username: env('DATABASE_USERNAME'),
        password: env('DATABASE_PASSWORD'),
      },
    },
  },
});

但是，这也不是很安全。在许多运行时环境（包括我正在使用的 Google App Engine）中，任何项目用户都可以以纯文本形式查看环境密码。

理想情况下，我想将数据库密码存储在一个秘密保险库中（我正在使用 Google Secret Manager），并在启动时以某种方式将保险库中的密码提供给 database.js 文件。但我不明白如何实现？甚至可以从database.js 访问秘密保险库吗？或者，我还能如何将我的数据库密码安全地注入 Strapi？

谢谢！

Answer 1

使用dotenv 和dotenv-defaults 包。

对于默认值和非关键值，请使用“.env.defaults”文件并将此文件提交到您的 VCS。 这将为其他开发人员提供一键式环境设置。

如果您的团队成员想要覆盖值，他们应该在本地开发环境中使用 gitignored ".env" 文件。 这将防止错误提交。

在您的服务器中，在外部定义环境变量并使用它们而不将它们嵌入到您的代码中。 这将为您的现场制作环境提供安全保障。

在这些包的文档中，您可以使用这些文件或环境变量中的任何值

....,
password: process.env.MY_PASSWORD,
....

Answer 2

• @raxetul 评论是最简单的方法。可以从代码中作为环境变量访问 google secret。根据 Google - “很常见，但应尽可能避免”here
• 要在初始数据库配置之前通过异步代码检索密钥，您应该使用Strapi bootstrap function。

每次服务器启动时都会调用引导函数。您可以使用它在服务器生命周期的这个时刻添加特定逻辑。

• 无论您选择什么 - 请记住，任何可以更改密码的人 - 都可以访问密码，无论您存储的密码有多安全。 “流氓”开发人员可以添加类似 console.log(env('HIGHLY_ENCRYPTED_PASSWORD')) 的行并读取输出。