如何優(yōu)雅的處理程序中的用戶(hù)名密碼等敏感信息

你可能不知道敏感信息硬編碼在程序中會(huì)帶來(lái)多大的麻煩。

我曾經(jīng)寫(xiě)過(guò)一個(gè)用 Python 發(fā)送 html 郵件及附件的程序，分享在了網(wǎng)絡(luò)上，里面的收件人沒(méi)有做隱藏處理，用的是我自己最常用的郵箱。然后，苦惱隨之而來(lái)：我會(huì)不停的收到測(cè)試郵件（垃圾郵件）。問(wèn)了其中一個(gè)發(fā)件人才知道有培訓(xùn)機(jī)構(gòu)用這個(gè)教學(xué)，學(xué)員什么都不改直接運(yùn)行，于是我就不停的收到郵件。

這點(diǎn)麻煩與泄漏密碼相比，還是小的。就有人不小心把含有用戶(hù)名密碼的程序上傳到開(kāi)源網(wǎng)站上。

解決這個(gè)問(wèn)題，就需要讓敏感信息和程序代碼解耦，敏感信息放在一個(gè)文件中，程序代碼放在另一個(gè)文件中，發(fā)布程序上避免上傳敏感信息。通常來(lái)說(shuō)，有兩種方式：

1、配置文件。

你可以使用標(biāo)準(zhǔn)庫(kù) configparser^[1] 來(lái)解析配置文件。好處就是你不僅可以讀取配置文件，還可以更新配置文件。

比如有這樣的一個(gè) example.ini 配置文件：

[DEFAULT]
ServerAliveInterval = 45
Compression = yes
CompressionLevel = 9
ForwardX11 = yes

[bitbucket.org]
User = hg

[topsecret.server.com]
Port = 50022
ForwardX11 = no

然后就可以這樣來(lái)讀?。?/p>

config?=?configparser.ConfigParser()
config.read('example.ini')
print(config['bitbucket.org']['User'])

你還可以使用一個(gè) python 文件來(lái)當(dāng)配置文件，最優(yōu)雅的方式就是模仿 Django，搞一個(gè)默認(rèn)的 settings.py，和用戶(hù)自定義的 settings.py 用戶(hù)自定義的配置可以覆蓋默認(rèn)的配置。這種方式非常簡(jiǎn)單，沒(méi)有記憶負(fù)擔(dān)，就像寫(xiě) Python 代碼一樣。

2、環(huán)境變量。

環(huán)境變量（environment variables）是指在操作系統(tǒng)中用來(lái)指定操作系統(tǒng)運(yùn)行環(huán)境的一些參數(shù)，比如說(shuō)安裝 Python 的過(guò)程中是否需要將 Python 可執(zhí)行程序添加到 Path 中，這個(gè) Path 就是一個(gè)環(huán)境變量。

在 Linux 或 Mac 中，可以這樣打印一個(gè)環(huán)境變量：

echo?$PATH

我們也可以把敏感信息寫(xiě)在操作系統(tǒng)的環(huán)境變量中，然后用 Python 讀取它：

>>>?import?os
>>>?os.environ["HOME"]
'/Users/aaron'
>>>?os.getenv("HOME1111",'/home/aaron')
'/home/aaron'
>>>?api_key?=?os.getenv("SECRET_API_KEY",?"Not?Exists")?

但是這樣做有缺點(diǎn)，你需要先 export key = value 來(lái)先設(shè)置一個(gè)環(huán)境變量，或者需要先去 .bashrc、.zshrc 等配置文件去添加你需要的環(huán)境變量，如果名稱(chēng)相同，可能會(huì)影響其他程序用到的同名環(huán)境變量。

畢竟優(yōu)雅的方式就是在項(xiàng)目目錄中新建一個(gè) .env 的環(huán)境變量配置文件，寫(xiě)入自己的配置信息，比如 .env 文件：

PROJECT_ID = "project_id"
API_KEY = "api_key"

然后借助于三方庫(kù) dotenv：

pip?install?python-dotenv

然后就可以這樣讀取它：

import?os
from?dotenv?import?load_dotenv

#?load_dotenv?將會(huì)查找一個(gè)?.env?文件，一旦找到，就會(huì)加載到環(huán)境變量中

load_dotenv()

PROJECT_ID?=?os.getenv("PROJECT_ID")
API_KEY?=?os.getenv("API_KEY")

而且這種方式不會(huì)影響其他任何程序。還有一點(diǎn)需要注意的是要把 .env 添加到你的 .gitignore。

如果你想對(duì) .env 文件進(jìn)行命名，也是可以的，比如說(shuō) dev.env，那么可以這樣寫(xiě)：

from?dotenv?import?dotenv_values
config?=?dotenv_values("dev.env")??
config.get("PROJECT_ID")

甚至多個(gè) env 文件也可以：

import?os
from?dotenv?import?dotenv_values

config?=?{
????**dotenv_values(".env.shared"),??#?load?shared?development?variables
????**dotenv_values(".env.secret"),??#?load?sensitive?variables
????**os.environ,??#?override?loaded?values?with?environment?variables
}

更多用法請(qǐng)參考python-dotenv^[2]

最后

本文介紹了配置文件和環(huán)境變量?jī)煞N避免硬編碼敏感信息的方法，在發(fā)布程序時(shí)注意對(duì)保護(hù)敏感信息，加入 .gitignore，如果有幫助請(qǐng)點(diǎn)贊、在看、關(guān)注支持。

參考資料