为Rails应用程序存储共享密钥

真的没有办法实现这个目标。(这是所有DRM系统都存在的问题)

你不能对操作系统保密。您的应用程序必须在内存中的某个地方有这个键,操作系统内核可以读取它想要读取的任何内存位置。

您需要能够信任操作系统,这意味着您也可以信任操作系统来正确地强制执行文件访问权限。这反过来意味着可以将密钥存储在只有Rails用户进程可以读取的文件中。

这样想:即使您根本没有密钥,如何阻止服务器上的攻击者简单地更改应用程序代码本身以获得对禁用功能的访问?

我将使用文件系统,对文件所有者具有只读访问权,并确保Ruby进程是该用户拥有的唯一进程。(使用) chmod 400 file )

您可以变得比这更复杂,但归根结底就是使用Unix用户和权限。

在文件系统中大量加密它?

把它当作普通密码,然后使用 salted hash ?一旦用户认证,他就可以访问网站的功能。