ruby-on-rails - 如何在 Ruby/Rails Web 服务器环境中将密码安全地存储在配置文件中？

Question

我需要在生产网络服务器上存储支付网关处理器用户名/密码凭据，但不希望以明文形式存储。存储这些凭据的最佳方式是什么？他们是加密和解密此信息的最佳实践吗？

Answer 1

这是一个经典的先有鸡还是先有蛋的问题。如果您不能保护 key ，加密对您根本没有帮助。而你显然不能。

我的建议是尝试让其他服务/用户对您的身份验证代码使用散列，然后保存这些散列。这样在最坏的情况下你会丢失哈希值，但可能很难(取决于设置的其余部分)实际恶意使用它们。您可能还想适本地加盐。

如果您不能强制使用哈希，另一种可能性是使用外部身份验证存储。它并没有真正解决问题，但您可以控制攻击向量并通过仅允许与具有重要数据的实际来源进行非常特定的联系来使其更安全。