Dropwizard配置文件安全性

Question

配置文件（.yml）用于使用Dropwizard（0.9.2-最新版本）开发的rest api。api所需的大部分凭证（如数据库密码、密钥等）都存储在配置文件中。

我们已经根据在dropwizard配置参考中找到的参考中提到的项目实现了大部分内容。

问题很清楚。它有多安全(将这些信息以纯文本形式存储在配置文件中)。)?如果不是，正确的做法是什么？

Answer 1

我只是在寻找类似问题的解决方案。我想找到一个不将密钥库密码包含在配置文件中的解决方案。最后我得到了一个解决方案。

只是将凭证密钥存储在配置文件中。然后使用替换器将密钥替换为它的相关值。但这需要一个安全的键值服务来获取密钥的值。

使用dropwizard用env变量覆盖服务器连接器配置

Answer 2

是的，它确实不安全。如果配置文件提交到公共存储库或为此提交任何存储库（版本控制），则更糟。我遵循的一种方法是维护具有所有敏感密钥的配置（.yml）文件的本地副本（不提交到任何存储库）

为了在本地或其他地方运行代码，请使用本地配置文件。这样，您就不会在存储库中暴露敏感数据。但是，在进行任何修改时，保持示例配置与本地副本同步是有开销的。