Skip to main content

dotenvx安全吗?

首先让我们了解一下dotenvx的加解密是如何工作的?

Dotenvx使用椭圆曲线集成加密方案 (ECIES),为每个密钥使用唯一的临时密钥进行加密,同时确保可以使用长期私钥进行解密。 初始化加密时,dotenvx会生成DOTENV_PUBLIC_KE(加密密钥-公钥)和DOTENV_PRIVATE_KEY(解密密钥-私钥)。 DOTENV_PUBLIC_KEY用于加密密钥,而DOTENV_PRIVATE_KEY则安全地存储在您的密钥管理器或.env.keys文件中。

Dotenvx使用AES-256算法和临时密钥对机密信息进行加密,加密密钥本身采用Secp256k1椭圆曲线密码算法进行保护,该算法广泛用于比特币等技术中的安全密钥交换。 这意味着.env文件中的每个机密信息都使用唯一的AES-256密钥进行加密,并且该密钥使用公钥 (Secp256k1) 进一步加密。· 即使攻击者获取了加密的env文件,他们仍然需要相应的私钥才能解密任何内容。

开发过程中,你可以放心地将加密的.env文件提交到代码仓库中,这样方便你和同事共享配置,同时也方便各个环境的应用部署:读取配置,启动程序, 完全不需要依赖外包的KMS或者Config Server,非常稳定可靠。这一过程非常简单,对开发者也非常友好,而且你完全不用担心配置泄露的问题。

更多关于dotenvx的安全介绍,可以参考Dotenvx安全白皮书