Как безопасно хранить и управлять секретами (ключами, паролями) в Go-приложении?

Безопасное управление секретами (API-ключи, токены, пароли от баз данных) — это критически важная задача в бэкенд-разработке. Хранение их в открытом виде в коде недопустимо.

Основные практики и подходы:

1. Никогда не храните секреты в коде. Это главное правило. Жестко закодированные секреты легко утекают при публикации кода в открытые репозитории.

2. Используйте переменные окружения (Environment Variables). Это самый распространенный и простой способ отделить конфигурацию от кода. В Go для этого используется пакет os.

   import (
       "os"
       "log"
   )
   
   func GetAPIKey() string {
       apiKey := os.Getenv("API_KEY")
       if apiKey == "" {
           log.Fatal("API_KEY environment variable not set")
       }
       return apiKey
   }

3. Используйте системы управления секретами (Secret Management Systems). Для production-окружений это наиболее безопасный и масштабируемый подход. Такие системы централизованно хранят, шифруют и управляют доступом к секретам.

   • HashiCorp Vault: Популярное open-source решение.
   • AWS Secrets Manager: Сервис от Amazon Web Services.
   • Google Secret Manager: Сервис от Google Cloud.
   • Azure Key Vault: Сервис от Microsoft Azure.

4. Используйте файлы конфигурации с осторожностью. Если вы используете файлы (например, .env), убедитесь, что они:

   • Добавлены в .gitignore, чтобы не попасть в систему контроля версий.
   • Имеют строгие права доступа в файловой системе.

5. Хешируйте пароли пользователей, а не храните их. Если речь идет о паролях пользователей, их никогда нельзя хранить в открытом виде или даже в зашифрованном. Используйте односторонние криптографические хеш-функции, такие как bcrypt.

   import "golang.org/x/crypto/bcrypt"
   
   // При регистрации пользователя
   hashedPassword, err := bcrypt.GenerateFromPassword([]byte(password), bcrypt.DefaultCost)
   
   // При входе пользователя
   err = bcrypt.CompareHashAndPassword(hashedPassword, []byte(inputPassword))

6. Избегайте логирования секретов. Убедитесь, что ваши логгеры не выводят случайно значения переменных, содержащих секреты.