后端开发中如何管理敏感配置和密钥

结论：后端敏感配置和密钥的正确做法是「代码仓库只留变量名，值全部放进密钥管理系统（Vault、AWS Secrets Manager、KMS、SOPS 等），运行时按需注入；CI/CD 用 OIDC 临时凭证替代长期 Access Key；再加一道提交前扫描兜底」。这四件事落地，就能挡掉绝大多数因硬编码密钥导致的泄露。

敏感配置和密钥到底该放在哪里？

结论：按环境分三层存放，任何一层都不把明文值写进 Git。

第一层本地开发：用 .env 文件配合 .gitignore，仓库里只提交 .env.example，里面写变量名和占位值，比如 DB_PASSWORD=。第二层 CI/CD：不写文件，通过流水线运行时的环境变量注入，或者由 OIDC 换取临时凭证后在构建步骤里拉取。第三层生产：从密钥管理系统读取，应用启动时拉一次并缓存在内存，不要落盘。

这是 12-Factor App 第三条「Config 存于环境」的延伸：配置与代码分离，且配置本身也要分环境隔离，测试环境的密钥不能和生产共用。

为什么 .env 提交到 Git 后删掉也没用？

结论：密钥一旦进入 Git 历史，git rm 只删除最新快照，历史提交里仍然完整可读。

Git 的对象存储是全量的，任何 clone 过仓库的人（包括 fork、CI 缓存、构建产物）都拿得到明文。所以正确的响应顺序是：第一步立刻在密钥管理系统里轮换该密钥，让泄露的那份失效；第二步再清理历史；第三步通知所有协作者重新 clone 而不是 pull。

清理历史用 git filter-repo --path .env --invert-paths（git filter-branch 的官方推荐替代品），或者用 BFG Repo-Cleaner。执行后需要 git push --force，并同步清理远端 tag 和 PR 引用。

怎么在提交前就拦住密钥？

结论：本地 pre-commit 钩子加 CI 全量扫描，两层都做。

本地层用 gitleaks，在 .pre-commit-config.yaml 里接入后，每次 commit 自动扫描暂存区，命中就中断提交。CI 层跑全量扫描：gitleaks detect --source . --redact -v，--redact 保证日志里不打印密钥原文。另一个选择是 TruffleHog，它的 trufflehog git file://. --only-verified 只报能被实际验证有效的凭证，误报率明显更低。

注意点：正则扫描只能覆盖有固定格式的密钥（AWS AK 以 AKIA 开头共 20 位、私钥以 -----BEGIN 开头等），自定义的高熵字符串仍然可能漏掉，所以它只是兜底，不是主防线。

生产环境的密钥怎么注入和轮换？

结论：用工作负载身份在运行时按需拉取，静态密钥轮换周期不超过 90 天。

Kubernetes 场景下，用 External Secrets Operator 把 Vault 或云 Secrets Manager 里的条目同步成 Secret 对象。要记住一个关键事实：Kubernetes Secret 默认只做 base64 编码，不是加密，任何能读 etcd 的人都能拿到明文，必须在 apiserver 配置里开启 etcd encryption at rest，或改用 Sealed Secrets。

Docker Compose 里用 secrets: 声明，密钥会以文件形式挂载到容器的 /run/secrets/<name>，不走环境变量，避免被 docker inspect 或进程列表泄露。

GitHub Actions 拉云资源时用 OIDC：给 job 加 permissions: id-token: write，再用 aws-actions/configure-aws-credentials 的 role-to-assume 换取临时凭证，有效期通常 1 小时，仓库里不存任何长期 AK。

轮换策略：数据库静态密码 90 天一轮，Vault 的动态数据库凭证可以把 TTL 设成 1 小时，过期自动重建。

怎么降低单个密钥泄露的影响面？

结论：最小权限 + 短 TTL + 独立密钥，三者缺一不可。

每个服务申请独立的凭据，不要多个服务共用一个数据库账号；数据库账号按库授权，不要给 *.*；只读服务不给写权限。开启密钥管理系统的审计日志，记录「谁、在什么时间、读了哪条密钥」，这是事后定位泄露源头的唯一手段。Vault 的 vault kv get secret/app/db 这类读取操作默认都会写审计日志。

把上面几层串起来就是一条完整链路：本地 .env 不入库 → 提交前 gitleaks 拦截 → CI 用 OIDC 拿临时凭证 → 生产从 Vault/Secrets Manager 运行时注入 → 独立短 TTL 凭据定期轮换 → 审计日志留痕。任何一环缺失，前面所有努力都会被绕过。