将 p12 文件安全地保存在 App Engine 上的什么位置？

Question

在 App Engine 上，我需要一个 p12 文件来创建签名网址：

https://developers.google.com/storage/docs/accesscontrol#Signing-Strings

Google 没有描述保存此文件的最佳做法。

我可以使用 WEB-INF 目录来存储文件吗？然后它将成为源代码的一部分，并与打开它的密码一起保存。

这里有哪些最佳做法？还是其他方法？

--

性能怎么样？一遍又一遍地加载文件是否有效？ App Engine 是否会跨调用（在同一实例上）自动缓存文件？或者我是否需要使用 servlet 加载文件一次，然后以某种方式将其保存在静态变量中？有没有更好的方法来实现这一点，比如将文件存储在数据存储记录中，然后将其保存在内存缓存中？这种方法有多安全？应该不会吧？

Answer 1

特别是在 App Engine 中，文件存储存在许多不寻常的安全限制。我发现安全存储资源的最佳位置是使用捆绑包本身。如果您使用的是由 appengine maven 框架项目生成的默认 Maven 设置，这就像将文件放在适当的资源目录中一样简单

一旦 p12 位于正确的位置，您就需要使用类加载器的 GetResourceAsStream 函数来加载它。然后在构建 GoogleCredentials 时，不要使用记录在案的 setServiceAccountPrivateKeyFromP12File() 函数，而是使用 setServiceAccountPrivateKey() 函数并传入您刚刚构建的 PrivateKey。

此外，您很可能不想将任何此功能用于实时 appengine 实例，因为 Appengine 已经为您提供了在这种情况下更易于使用的 AppIdentityCredentials 函数，因此您可能希望检测您的应用是否处于生产模式，仅在使用 localhost 进行测试时使用 ServiceAccount。

将所有这些函数放在一起会产生以下对我有用的函数：

public static HttpRequestInitializer getDefaultCredentials() throws IOException
  {
      List<String> scopes = Arrays.asList(new String[] {DEVSTORAGE_FULL_CONTROL});
      if (SystemProperty.environment.value() == SystemProperty.Environment.Value.Production)
          return new AppIdentityCredential(scopes);
      else
      {

          GoogleCredential credential;

          try {
              String p12Password = "notasecret";

              ClassLoader classLoader = ServiceUtils.class.getClassLoader();

              KeyStore keystore = KeyStore.getInstance("PKCS12");
              InputStream keyFileStream = classLoader.getResourceAsStream("key.p12");

              if (keyFileStream == null){
                  throw new Exception("Key File Not Found.");
              }

              keystore.load(keyFileStream, p12Password.toCharArray());
              PrivateKey key = (PrivateKey)keystore.getKey("privatekey", p12Password.toCharArray());

              credential = new GoogleCredential.Builder()
                      .setTransport(HTTP_TRANSPORT)
                      .setJsonFactory(JSON_FACTORY)
                      .setServiceAccountId("YOUR_SERVICE_ACCOUNT_EMAIL@developer.gserviceaccount.com")
                      .setServiceAccountPrivateKey(key)
                      .setServiceAccountScopes(scopes)
                      .build();
          } catch (GeneralSecurityException e) {
              e.printStackTrace();
              return null;
          } catch (Exception e) {
              e.printStackTrace();
              return null;
          }

          return credential;

      }

  }