python - 在 flask 中存储 mysql 服务器凭据的安全方法？

Question

我想知道我的 app.py flask 应用程序中某些东西的安全性。首先是数据库，我正在使用 mysql，目前我通过以下方式连接到它:

# Config MySQL
app.config['MYSQL_HOST'] = 'localhost'
app.config['MYSQL_USER'] = 'root'
app.config['MYSQL_PASSWORD'] = 'password'
app.config['MYSQL_DB'] = 'databasename'
app.config['MYSQL_CURSORCLASS'] = 'DictCursor'

对我来说，这感觉很奇怪，只是以纯文本形式输入密码等。我一直在网上搜索，但除了将它放在一个单独的 python 文件中并导入它之外，没有找到任何其他方法来做到这一点.哪一种感觉就像什么都不做.. 有没有更好的方法来明智地做到这一点？

然后是我用于密码编码的 key 。这也只是以纯文本形式存储在我的代码中，是否还有一种方法可以使其更安全或更不明显？

提前致谢!

Answer 1

运行您的代码的计算机需要知道密码，因此您无法保护计算机的所有者(如果不是您的话)。但是，如果您在源代码中拥有密码，则很容易将其置于版本控制中，如果您使用公共(public) github，则很容易发生您发布 key 的情况。

作为替代方案，您可以将密码放在配置文件中(注意不要将其放入版本控制中，例如通过 .gitignore)或者您可以使用环境变量。