如何安全地存储 API 令牌？

Question

当用户在浏览器上输入他们的 API 令牌时，我需要安全地保存他们的令牌。加密用户令牌的好方法是什么？

我开始考虑使用 AWS Secrets Manager 通过 API 存储用户的令牌，但事实证明它真的很贵。每个秘密每月 0.40 美元。

我可能会考虑在 MySQL 中加密用户令牌并将主密钥存储在 .env 文件中

有其他方法吗？

Answer 1

由于您已经在使用 AWS 服务，因此利用更具弹性的云原生解决方案是有意义的。

使用 SSM，您只需为由 AWS Systems Manager 管理或创建的底层 AWS 资源付费，但是，参数存储以及大多数其他 AWS 服务使用 KMS 进行解密和加密。

其他选择：

• 缓存 SSM 参数，例如 https://github.com/alexcasalboni/ssm-cache-python
• 使用 credstash (dynamodb + kms)
• 将 s3 与服务器和客户端加密一起使用 https://docs.aws.amazon.com/AmazonS3/latest/dev/UsingEncryption.html

根据您的使用情况，您需要算一算，KMS 不是免费的，但有不错的每月免费套餐

Answer 2

对于您的场景，您可以保存令牌 AWS DynamoDB，使用 AWS KMS 进行静态加密。

除 Lambda 费用外，AWS KMS 的 CMK 费用主要为 1 美元，基于按需加密和解密操作，每 10,000 个请求约 0.03 美元，免费套餐每月免费提供 20,000 个请求。

有关定价的更多详细信息，请参阅AWS KMS pricing 部分。