时间戳

首页 > 解决方案 > 在 Redis 中存储访问令牌

redis - 在 Redis 中存储访问令牌

问题描述

我正在使用 Redis 存储访问令牌。我想知道在保存到redis之前是否需要加密令牌。如果是，请解释原因。我正在使用 C# 和 Stackexchange.Redis 库。

标签： redisstackexchange.redis

解决方案

正如redis 文档的安全部分所述

Redis 旨在由受信任环境中的受信任客户端访问。这意味着通常将 Redis 实例直接暴露给 Internet 或者通常暴露给不受信任的客户端可以直接访问 Redis TCP 端口或 UNIX 套接字的环境不是一个好主意。

因此，最好保护实例而不是其中的每个单独数据。Redis 不支持加密，正如您提到的，您需要在应用层处理。您需要通过加密/解密方法包装命令。

为了额外的安全性，我认为您必须authentication通过在配置文件中设置密码来使用。它可能很长，并且将保存在配置文件中，因此每个命令都需要auth作为先决条件。

如果您担心与 redis 通信的实例的安全性，那是另一个话题。auth就像加密秘密一样无济于事。由于这两个秘密都在攻击者手中，他可以检索原始数据。

推荐阅读