必须加密：db.password、redis.password、smtp.password、jwt.secret等带password、secret、key后缀的字段；jwt.secret泄露可致任意token伪造，绕过权限校验。
Revel配置文件里哪些字段必须加密？
Revel默认读取conf/app.conf，其中明文存放的db.password、redis.password、smtp.password、jwt.secret等字段一旦泄露，直接导致数据库接管、缓存污染或Token伪造。尤其jwt.secret若被获取，攻击者可签发任意合法Token，绕过所有权限校验。
注意：app.name、run.mode、http.port这类非敏感配置无需加密，加了反而增加运维负担。
- 必须加密：所有带
password、secret、key后缀的值 - 建议加密：
api.token、oauth.client_secret等第三方集成凭证 - 禁止加密：
log.level、session.cookie.name等纯控制类配置
用Go标准库crypto/aes实现配置项解密（不依赖外部工具）
Revel本身不提供配置加密支持，得在app.Init()阶段手动注入解密逻辑。核心思路是：启动时读取环境变量或文件中的密钥，对conf/app.conf中已Base64编码的密文做AES-256-GCM解密。
示例关键代码片段：
func initConfig() {
key := []byte(os.Getenv("REVEL_CRYPTO_KEY")) // 32字节密钥，必须严格管理
cipherText, _ := base64.StdEncoding.DecodeString(beego.AppConfig.String("db.password"))
plainText, _ := aesgcmDecrypt(key, cipherText)
beego.AppConfig.Set("db.password", string(plainText))
}
要点：
- 密钥长度必须为32字节（AES-256），不能用短密码直接
[]byte("mykey") - 密文需预先用相同密钥+nonce加密并Base64编码，写入
app.conf，如db.password = "yZx...==" - 解密失败时应用应panic退出，避免降级使用空密码连接数据库
生产环境密钥绝对不能硬编码或进Git
常见错误是把REVEL_CRYPTO_KEY写死在Dockerfile或app.conf里，或者塞进Git仓库——这等于把保险柜钥匙贴在门上。
可行方案按优先级排序：
- Kubernetes：用
Secret对象挂载为环境变量，Pod启动时自动注入 - Docker Compose：通过
secrets字段加载，容器内以文件形式读取（更安全，避免进程列表泄露） - 云平台：AWS Parameter Store / Azure Key Vault，启动时调API拉取，配合IAM角色限制访问权限
特别注意：os.Getenv()读取的环境变量可能被ps aux或/proc/cmdline看到，所以K8s Secret挂载环境变量仅适用于低风险场景；高敏系统务必走文件挂载路径。
为什么不用Revel插件或第三方加密库？
社区有revel-crypto等插件，但维护停滞（最新提交在2021年），且多数依赖golang.org/x/crypto旧版，存在已知侧信道漏洞（如CVE-2022-27191）。而Revel v0.23+已内置beego/config模块，直接用标准库crypto/aes和crypto/cipher更可控。
另一个坑是有人试图用RSA加密配置——完全没必要。RSA适合加密小数据（如对称密钥），而数据库密码几十字节，用AES-GCM既快又安全，且避免私钥管理难题。
最后提醒：加密只是纵深防御一环。如果应用服务器被攻陷，内存里解密后的密码仍可能被dump出来。真正关键的是限制服务账户最小权限、网络隔离、以及定期轮换密钥——这些比选什么加密算法重要得多。
