我想知道在 express-session 中作为配置传递的密钥的漏洞

Question

我们传递一个在前面有一个密钥值的对象 -->

app.use(session({
  secret: 'keyboard cat',
  resave: false,
  saveUninitialized: true,
  cookie: { secure: true }
})

我想知道将密钥公开是否是一个好习惯，或者我应该通过环境变量传递它

Answer 1

是的，您应该将该键放入环境变量中，可能是在 .env 文件中，并使用 dotenv 包从服务器端 javascript 中将其作为变量获取。

在该 javascript 文件中将您的密钥作为明文形式存在的安全问题是，如果您将其提交到源代码管理，那么任何有权访问您的存储库的人也可以访问该密钥。