api - 在哪里存储 API token 、用户/密码等

Question

所以我有一个网页。该网页通过基本身份验证、oAuth、Digest 等访问 API。我必须将某种身份验证发送到 API 端点到另一个服务。让我们假设它是 Facebook OpenGraph API。

Facebook 向我颁发了凭据以便使用它的 API。我在哪里存储这些凭据以免受外部攻击？我一直只是将它们放在我的服务器端代码中，就像 API 文档告诉您的那样。这样够安全吗？我不担心内部滥用，我担心外部攻击。

我应该将用于访问其他服务的 Web 应用程序身份验证凭据放在哪里，这些服务将免受外部攻击？

Answer 1

看到使用其他几种服务的混搭正变得越来越流行，这是一个很好的问题。但不幸的是，您真的无法将此类凭据放在实际的地方，因为它们绝对不会受到外部攻击。以下是一些选项:

1. 将它们保存在源代码中。攻击者可以通过错误配置服务器来访问源代码，这是服务器软件中的一个弱点。或者他可以访问服务器上的文件系统或拦截服务器与 Facebook 之间的网络流量。
2. 将它们保存在服务器外部的数据库中。但是，您在哪里保存数据库的凭据以便您的代码可以访问它？您只是将问题转移到了另一组凭据上，如果可以在本地网络外部访问数据库，那么您实际上增加了攻击面。
3. 将它们保存在服务器上的一个文件中。现在攻击者必须获得对文件系统的访问权限或拦截网络流量。所以这比以前的选项更安全。