是否安全密码保存为配置文件中的环境变量（而不是纯文本）？(Is it secure to store

我在导轨，Django的（和PHP的一点点）一些应用程序的工作，和我开始在一些人做的事情之一是存储数据库和其他密码为环境变量，而不是在特定的配置文件明文（或在settings.py，对于django的应用程序）。

在与我的合作者之一讨论这个，他建议这是一个贫穷的做法 - 这或许并不如绝对安全，因为它可能一开始看起来。

所以，我想知道 - 这是一个安全的做法？它是更安全的密码存储在这些文件（确保，当然，不要在公共回购或任何将这些文件）纯文本？

Answer 1:

在一个更理论水平，我倾向于认为有关通过以下方式安全级别（增加强度的顺序排列）：

没有安全。纯文本。任何人都知道在哪里看，可以访问数据。
通过混淆安全。您存储数据（明文）某处棘手，就像一个环境变量，或者，是为了看起来像一个配置文件的文件。攻击者最终会弄清楚发生了什么事情，或在其绊倒。
通过加密提供安全性是微不足道的突破，（认为凯撒密码！）。
通过加密可以与一些努力被打破提供保障。
通过加密提供的安全是不切实际的突破给当前的硬件。
最安全的系统是一个任何人都无法使用！ :)

环境变量是比纯文本文件更安全，因为它们是挥发性/一次性的，不会被保存; 也就是说，如果你只设置一个本地的环境变量，如“设置PWD =什么”，然后运行该脚本，用的东西，在脚本结束退出命令shell，那么变量将不再存在。你的情况属于前两者，我会说是相当不安全的。如果你要做到这一点，我不会建议仅用于测试目的之外部署您的直接联网/家庭网络，然后。