如何安全存储 SSL 证书与公私钥文件-js教程-PHP中文网

如何安全存储 SSL 证书与公私钥文件

在 Node.js/TypeScript 项目中，应避免将 SSL 证书、JWT 私钥等敏感密钥硬编码或直接提交至代码库；推荐通过环境变量指定文件路径，并结合 .gitignore 保护密钥文件本身。

在 node.js/typescript 项目中，应避免将 ssl 证书、jwt 私钥等敏感密钥硬编码或直接提交至代码库；推荐通过环境变量指定文件路径，并结合 `.gitignore` 保护密钥文件本身。

安全存储密钥的核心原则

密钥（如 TLS 私钥、JWT 签名密钥）本质上是机密材料（secrets），而非配置项。因此，最佳实践需同时满足两个条件：
✅ 不嵌入代码或版本库 —— 防止意外泄露（如 GitHub 提交、CI 日志暴露）；
✅ 不以明文字符串形式存入 .env —— 避免密钥内容被环境变量注入、日志打印或进程列表（ps aux）截获。

⚠️ 重要提醒：绝不要将 PEM 文件内容（如 -----BEGIN PRIVATE KEY-----...）直接粘贴进 .env 文件！ 这会导致密钥以 Base64 或 ASCII 形式暴露在环境变量中，违反最小权限与纵深防御原则。

推荐方案：环境变量 + 外部文件路径（安全且可审计）

1. 创建独立密钥目录并排除版本控制

在项目根目录下新建 secrets/（或 certs/），存放密钥文件：

mkdir -p secrets/
cp ./prod/private-key.pem secrets/private-key.pem
cp ./prod/certificate.pem secrets/certificate.pem

然后在 .gitignore 中明确屏蔽：

# .gitignore
/secrets/
/secrets/**/*
!.gitignore  # 可选：保留空目录结构提示

2. 通过 .env 指定路径（非内容）

.env（仅本地开发使用，绝不提交）：

PHP基础-环境变量函数等

PHP基础-环境变量函数等 vip-kj-zhu/php-kj/4-jQuery-最流行的JS函数库.zip

下载

# .env —— 仅用于本地开发，不进入 Git
PRIVATE_KEY_PATH=./secrets/private-key.pem
PUBLIC_KEY_PATH=./secrets/public-key.pem
CERTIFICATE_PATH=./secrets/certificate.pem

生产环境应通过系统级环境变量（如 Docker -e、Kubernetes Secret Volume、云平台 Secrets Manager）注入相同变量，不依赖 .env 文件。

3. 安全读取密钥的 TypeScript 实现

使用 dotenv（开发时加载）、fs.readFileSync（同步确保启动时可用），并加入基础校验：

// utils/keys.ts
import * as fs from 'fs';
import * as path from 'path';
import * as dotenv from 'dotenv';

// 仅开发环境加载 .env
if (process.env.NODE_ENV === 'development') {
  dotenv.config();
}

const resolvePath = (envVar: string): string => {
  const rawPath = process.env[envVar];
  if (!rawPath) {
    throw new Error(`Missing environment variable: ${envVar}`);
  }
  const fullPath = path.resolve(process.cwd(), rawPath);
  if (!fs.existsSync(fullPath)) {
    throw new Error(`Key file not found at: ${fullPath}`);
  }
  return fullPath;
};

export const loadPrivateKey = (): string => {
  const pkeyPath = resolvePath('PRIVATE_KEY_PATH');
  const content = fs.readFileSync(pkeyPath, 'utf8');
  // 可选：简单格式校验（防误用公钥文件）
  if (!content.includes('-----BEGIN RSA PRIVATE KEY-----') &&
      !content.includes('-----BEGIN PRIVATE KEY-----')) {
    throw new Error('Invalid private key format');
  }
  return content;
};

export const loadPublicKey = (): string => {
  const pubPath = resolvePath('PUBLIC_KEY_PATH');
  return fs.readFileSync(pubPath, 'utf8');
};

export const loadCertificate = (): string => {
  const certPath = resolvePath('CERTIFICATE_PATH');
  return fs.readFileSync(certPath, 'utf8');
};

在 HTTPS 或 JWT 初始化中调用：

// server.ts
import https from 'https';
import { loadPrivateKey, loadCertificate } from './utils/keys';

const options: https.ServerOptions = {
  key: loadPrivateKey(),
  cert: loadCertificate(),
  // ca: loadCaBundle() // 如需双向 TLS
};

const server = https.createServer(options, app);

生产环境增强建议（进阶）

场景	推荐方案	说明
容器化部署（Docker/K8s）	使用 Secret Volume 挂载文件	Kubernetes Secret 以临时文件系统方式挂载，避免持久化泄露
云服务（AWS/Azure/GCP）	使用托管密钥服务（KMS / Secrets Manager）	运行时动态解密，密钥永不落地；需集成 SDK 并配置 IAM 权限
CI/CD 流水线	注入为受保护的 pipeline secret	如 GitHub Actions secrets, GitLab CI masked variables，禁止日志回显