V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2181 天前的主题，其中的信息可能已经有所发展或是发生改变。

曾有个同事不小心把项目代码给传到了 Github 上，导致代码里边的一个明文邮箱账号密码被利用，为此公司及个人都付出了沉重的代价。那么代码中的敏感信息该如何处理呢？本文将简单介绍一下我们的实践方法。

实现目标

代码中的敏感信息加密，例如邮箱账号密码、连接数据库的账号密码、第三方校验的 key
对于生产使用的原始密码等信息应尽量少的人接触，例如数据库的密码应只有 DBA 知道

信息加密

信息加密常见的有两类：

第一类无需解密：例如系统登录密码加密，通过加密算法对用户输入密码进行加密后存放在数据库中，用户再次登录时依然拿相同的加密算法对用户输入密码进行加密，拿加密后的结果和数据库中存放的结果做对比，整个过程中都不需要知道用户输入的原始密码是什么，MD5 是处理此类加密最常用的加密算法

第二类需要解密：例如我们写在项目代码中连接数据库的账号密码，项目代码中以密文方式存储，当需要连接数据库的时候，要对密文进行解密，拿到原始未加密的账号密码去连接数据库，与 MD5 单向加密不同，这类加密需要能对加密后的密文进行解密，此类加密方法目前最常用的加密算法为 RSA

我们这里考虑的是给配置文件里的敏感信息加密，也就是上边说的第二类情况，采用的也是 RSA 加密算法，关于 RSA 加密算法的详细内容自行 Google 下吧，这里不赘述，需要知道以下两点就可以了：

加密算法需要生成一对 RSA 秘钥，分别为公钥和私钥
拿公钥对密码进行加密得到加密后的字符串配置在项目代码中，需要使用原始密码的时候拿私钥对加密后的字符串进行解密得到原始密码

这里注意一个问题，拿到私钥就可以对加密字符串进行解密，那么这个秘钥肯定就不能放在项目代码中了，不然再遇到代码给传 Github 的情况就可以拿秘钥进行解密，失去了加密的意义了。这里我们的策略是秘钥统一由运维管理，直接放在生产服务器中，项目代理里配置路径可读取秘钥即可，避免秘钥因代码泄露而泄露。

RSA 加解密 python 脚本，可以直接使用此脚本生成 RSA 秘钥对，加密密码或者解密，当然也可以使用 OpenSSL 工具完成此操作

import binascii
from Cryptodome.PublicKey import RSA
from Cryptodome.Cipher import PKCS1_v1_5


class RsaCrypto():
    '''RSA 加解密'''

    def create_rsa_key(self):
        '''生成 RSA 秘钥对'''
        try:
            key = RSA.generate(2048)
            encrypted_key = key.exportKey(pkcs=8)

            public_key = key.publickey().exportKey().decode('utf-8')
            private_key = encrypted_key.decode('utf-8')

            return {'state': 1, 'message': {'public_key': public_key, 'private_key': private_key}}
        except Exception as err:
            return {'state': 0, 'message': str(err)}

    def encrypt(self, public_key, plaintext):
        '''加密方法'''
        try:
            recipient_key = RSA.import_key(public_key)
            cipher_rsa = PKCS1_v1_5.new(recipient_key)

            en_data = cipher_rsa.encrypt(plaintext.encode('utf-8'))
            hex_data = binascii.hexlify(en_data).decode('utf-8')

            return {'state': 1, 'message': hex_data}
        except Exception as err:
            return {'state': 0, 'message': str(err)}

    def decrypt(self, private_key, hex_data):
        '''解密方法'''
        try:
            private_key = RSA.import_key(private_key)
            cipher_rsa = PKCS1_v1_5.new(private_key)

            en_data = binascii.unhexlify(hex_data.encode('utf-8'))
            data = cipher_rsa.decrypt(en_data, None).decode('utf-8')

            return {'state': 1, 'message': data}
        except Exception as err:
            return {'state': 0, 'message': str(err)}


if __name__ == '__main__':
    print(RsaCrypto().create_rsa_key())