存储在第三方服务的数据库 api 密钥中

Question

我有一个 java 应用程序，我有用户使用用户名和密码连接到它。 我将亚马逊服务用于托管和应用程序中的其他内容。

我想进行一次休息调用以从第三方服务获取一些数据，并且我需要用户为其输入 API 密钥。 每个用户都有自己的 API KEY。

我不希望用户每次都输入 API KEY。

我不想将 API KEY 原样存储在数据库中，所以我尝试用谷歌搜索，但没有找到任何专业的\优雅的解决方案。

除了使用某种算法对 API 密钥进行加密和解密之外，您还有什么想法吗？

Answer 1

如果您想将 API 密钥存储在数据库表中，那么除了加密该数据以保护它之外，确实没有任何替代方法。但是，有一种替代方法不涉及将密钥存储在数据库中。相反，您可以使用 JWT 用户令牌。使用 JWT，当用户登录或需要进行身份验证时，您也可以提示他们输入 API 密钥。然后，您将向用户颁发一个令牌，其中包含声明部分中的 API 密钥。每当用户以调用 API 的意图访问您的服务时，JWT 就会被传入，服务器可以提取 API 密钥。

在 JWT 方法下，API 密钥只会与您的每个用户一起存储，并且它们将不会存储在您的数据库或系统的其他位置，至少不会在任何长期内存储容量。