在 Postgres/Supabase 中生成 HMAC 和安全性
我需要使用 Supabase 上的 Postgres 功能为我的用户生成 hmac。我正在运行以下命令,以便在用户请求时在运行时生成它。
create or replace function get_hmac(message text) returns varchar
as $$
SELECT ENCODE(HMAC(message,'mykey','sha256'),'hex');
$$ language sql;
但是,我不确定这是否安全,因为我的密钥(“mykey”)只是放在那里,暴露给任何有权访问我的 sql 编辑器的人。我该如何解决这个问题?
I need to generate hmac for my users using Postgres' function on Supabase. I am running the following command to generate it at runtime when the user requests for it.
create or replace function get_hmac(message text) returns varchar
as $
SELECT ENCODE(HMAC(message,'mykey','sha256'),'hex');
$ language sql;
However, I am unsure if this is safe because my key ('mykey') is just sitting there exposed to anyone who has access to my sql editor. How do I go about tackling this issue?
如果你对这篇内容有疑问,欢迎到本站社区发帖提问 参与讨论,获取更多帮助,或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱,如果其他用户或者作者回复了您的评论,将不能在第一时间通知您!
发布评论
评论(1)
硬编码值从来都不是一个好主意,因为它们变得分散并增加了泄漏的风险。
在 Supabase 中,您应该使用 Vault 来保存您的所有机密。
首先,您应该安装 Vault 扩展
然后将所需的机密插入到 Vault 中
机密现在已加密存储在 Vault 中。
要查看解密的数据,您可以使用:
要使用它,您应该能够编写如下内容:
完整的解释可以在 Supabase 博客网站
另一种选择是使用环境变量,但我认为 Vault 是更好的解决方案。
Hardcoding values is never a good idea as they become decentralized and increase the risk of leakage.
In Supabase you should use Vault for all your secrets.
First you should install the Vault extension
Then insert the required secrets into the vault
The secrets are now stored in the vault encrypted.
To look at the decrypted data you can use:
And to use it you should be able to write something like this:
A full explanation is found on the Supabase blog site
Another option is using environment variables but I think that vault is a better solution.