How to Generate an API Key
3 days ago
- #Key Management
- #API Security
- #Software Development
- 使用加密安全随机数生成器（CSPRNG）生成128位随机数。
- 添加指示类型和环境的人类可读前缀（例如：sk_live_）。
- 仅存储SHA-256哈希值；绝不存储明文密钥；密钥仅显示一次。
- 通过四步流程验证密钥：格式验证、哈希处理、数据库查询、权限检查。
- 为被泄露的密钥实施撤销和轮换机制，并设置宽限期。
- 区分用于服务端的密钥（sk_）和用于客户端的可发布密钥（pk_）。
- 遵循Stripe广泛采用的API密钥格式作为模型。
- 在Node.js应用中使用Express中间件进行身份验证。
- 避免常见错误，如在前端代码中硬编码密钥、记录原始密钥和省略前缀。