在服务器和 Git 存储库上使用应用程序密钥时的最佳实践

Question

在服务器上使用应用程序密钥（例如 Twitter API 密钥或 Parse.com 密钥）的最佳做法是什么？

我们有一些 NodeJS 代码需要部署到将访问 Twitter 和 Parse.com API 的云服务器。将 config.js 模块中的密钥推送到 Git 存储库然后在服务器上克隆该存储库是否安全（或者我只是偏执）？

Answer 1

Git 存储库很容易通过不安全的分叉、开发人员的一台计算机被感染、意外暴露等泄漏。

即使 git repo 是完全安全的（不可能的），您也会打开其他攻击媒介：如果您扩展，让更多人参与项目怎么办？您基本上必须最终信任他们每个人的密钥。

将密钥存储在任何版本控制软件中都是没有意义的，只需将它们保存在安全的地方并进行备份，然后使用 SSH 上传到最终服务器。

遵循最佳实践永远不会有坏处：

1. 在存储库中有结构化但未填充的 config.js 以简化设置。
2. 使用 SSH 或其他安全方法修改最终服务器上的 config.js，插入值。

附：你一点都不偏执（这个时候几乎不可能过于谨慎）。