存储 Web 服务密码的最佳实践答案

【问题标题】：Best practice to store web service password存储 Web 服务密码的最佳实践
【发布时间】：2012-11-26 09:36:34
【问题描述】：

场景：

这似乎是一个“鸡与蛋”的问题。

有没有办法安全地存储密码并能够解密它以用于自动化服务？

有什么提示吗？

【问题讨论】：

远程服务是否使用OAuth？那是你最好的选择。如果没有，看看这个问题：stackoverflow.com/questions/8036233/…
很遗憾没有 OAuth。我正在考虑使用 ssh 密钥来加密密码，并使用来自 devise 的散列密码作为密钥密码。我从 zenTourist (distributed-frostbite.blogspot.it/2010/06/…) 借用了使用 ssh 密钥的想法

【解决方案1】：

如果加密信息需要以纯文本形式发送，如何使用强可逆密码，这可能是 Web 服务管理员的意思。

在使用（例如）AES 加密进行加密之前，您可以添加其他信息作为盐（使用您熟知且可以通过算法应用的任何内容，例如名称）。
然后您可以将加密的密码存储在您选择的位置。

【讨论】：

【解决方案2】：

我会将此密码存储在环境变量中（纯文本，经过混淆处理，无关紧要）以避免将其放入 VCS。

【讨论】：

感谢您的建议，但我非常领先于这些解决方案。我必须签署文件，确认其他人给我的密码已安全存储。因此，没有纯文本，没有安全性，配置文件中没有环境变量。在 VCS 中没有它是非常非常非常好的第一步......就像对外科医生说他需要戴手套......