Rails数据库 - 如何使用用户密码存储加密数据？

Question

我有一个将保存敏感数据的数据库，因此应该在数据库中加密。基本上，敏感数据是另一个网站的凭据。所以我想用用户密码+ salt加密它们。

要解密凭证，需要密码。

我看到两种方式： 登录时，我可以解密凭据，然后将它们存储在会话中？这样安全吗？

OR

在解密存储的密码/ ID之前，用户更难以再次询问密码？

我们不希望自己有能力使用存储的凭据。

Answer 1

我强烈推荐“Security on Rails”。这是一个棘手的话题，所以你需要花些时间阅读才能做到正确。它们正好涵盖了这个主题，包括如何对加密数据加盐，进行单元测试以确保加密数据等等。

他们的示例代码显示了如何将类方法添加到ActiveRecord :: Base，以便您可以在一行代码中加密任何数据库列。绝对是一种惯用的Rails方法。

这是一个很棒的阅读 - 单元测试让我感到震惊，所以认真......去吧。

顺便说一下，当你说

时

  

我们不希望有任何能力   自己使用存储的凭证。

您意识到，由于您的代码从用户的浏览器接收未加密的数据，因此您可以在磁盘上加密之前访问内存中的数据，或者在用户以后想要使用该数据时未加密的数据。坏人可以访问这些数据，如果他们根据你的盒子，将某些东西偷偷带入Ruby eval()等等。

加密数据确实有很大帮助。例如，SQL注入攻击无法获取解密数据。