node.js - NodeJS 存储的是需要解密和读取的加密数据库密码，而不是用户密码？

Question

我正在为 Multi-Tenancy 应用程序构建 Node api，并且正在使用内存中的租户目录，该目录存储用于连接到每个租户的数据库的所有连接字符串。

尽管帐户可以执行的操作以及可以连接到这些特定帐户的数据库的来源存在限制，但我仍然不想考虑将这些密码存储为纯文本。

我以前使用过 bcrypt，但由于其“单向”性质，我实际上无法使用“存储”的密码。

有没有一种安全的方法可以在 NODE 应用程序中处理这些问题？

Answer 1

Node 带有开箱即用的 crypto，您可以使用它使用已知的私钥(密码)进行基本的对称加密。据推测， key 存储在您的应用程序可以访问的安全位置，但不在数据库或源代码中。

这是一个简单的示例:https://lollyrock.com/posts/nodejs-encryption/

这为您提供静态加密，这可能是一个很好的“以防万一”安全预防措施。根据您使用的数据库，您可能可以选择静态加密而无需更改应用程序 - 例如，如果您是 AWS 商店，您可能可以选择创建 encryption invisible to your application 。否则，您需要在读取和写入行时进行解密和加密。