如何存儲命令行工具的敏感信息？

Question

比方說，你建立一個客戶端上，需要一個訪問令牌的API上面。客戶的用戶可以插入他們的訪問令牌，並且生活很棒。

比方說，你想建立一個簡單的命令行工具，執行使用該客戶端的命令。假設您想通過某些包管理系統（例如npm，pypi等）將此工具從外部訪問。

有沒有辦法做到這一點不暴露訪問令牌，命令行工具將使用？

顯然，您可以讓此命令行工具的每個用戶都輸入自己的訪問令牌，而不是使用應用程序的訪問令牌。

Answer 1

如果您希望限制誰可以下載您的工具並保留應用程序訪問令牌，則可以使用Artifactory或類似產品來設置私有存儲庫。缺點（除了不能夠做關於未授權再有的話）是你的用戶需要將他們的認證信息添加到自己的.npmrc或類似，以連接到私人回購協議，所以你真的只是把問題在一個刪除。如果你正在經歷NPM你需要scope你的包名或讓用戶兼顧多個登記。

你的工具，也可以在啓動時讀取配置文件，並從獲取用戶訪問令牌，就像你會怎麼讀連接信息的本地數據庫。配置文件未分發，或作爲示例發貨，以便最終用戶在使用前編輯其詳細信息。