黑与金的钥匙圈

作为一名前安全记者，以纯文本格式存储密码或令牌使我有些不安。 当您在R环境变量中存储密码或令牌字符串时，基本上就是这种情况。

好消息是，如果您使用R环境变量，则它们不会显示在“环境”选项卡中。 而且，如果您与他人共享代码或将代码发布在GitHub上，则不会错误地泄露您的凭据。

[ 在我们的视频教程系列中获得Sharon Machlis的R技巧 。 | 阅读InfoWorld教程： 学习使用R处理大数据 。 • 如何重塑R中的数据 。 • 触手可及的R数据操作技巧 • R的 初学者指南 。 | 通过InfoWorld大数据报告新闻通讯了解最新的分析和大数据。 ]

坏消息是R环境文件是纯文本文件，点Renviron。 如果运行usethis::edit_r_environ() ，则可以看到该文件。

使用keyring软件包是一个更好的主意。

使用通常的install.packages("keyring")从CRAN安装它，然后使用library(keyring)加载它。

然后，您可以使用key_set()函数将值存储在R的密钥key_set() 。 例如， key_set("MY_FAKE_TOKEN")用于存储MY_FAKE_TOKEN的值。 系统会要求您输入一个“密码”，实际上是您输入要安全存储的值的方式。 通过使用密码对话框，您可以交互设置一次该值，而不必用明文输入该值。

Sharon Machlis / IDG

使用存储在密钥环中的值的最佳方法是作为函数中的参数。 这样，实际值就永远不会显示在环境选项卡或历史记录中，就像您将值存储在脚本中的新变量中一样。

您可以使用key_get()函数访问该值，例如key_get("MY_FAKE_TOKEN") ，然后在诸如设置选项之类的参数中使用它：

options(googleAuthR.client_id = key_get("MY_FAKE_TOKEN"))

这仍然不是很安全。 您的凭据存储在加密的密钥环中是一个很大的改进。 但是任何可以访问您的机器并知道密钥环软件包的人仍然可以获取您的凭据。 keyring_list()将显示密钥环中的所有可用条目（如果不是它们的值）。

为了增加安全性，您可以在R中创建一个受密码保护的密钥环。使用keyring_create()和新密钥环的名称（例如keyring_create("Rcredentials") 。

使用与使用key_set()函数设置值时相同的密码对话框，将要求您输入密码。

您可以在R会话开始时使用keyring_unlock("Rcredentials")解锁一个受密码保护的密钥环，称为Rcredentials。 现在，您可以使用诸如key_set("NEW_FAKE_TOKEN", keyring ="Rcredentials")代码为新令牌设置值，以指定新的密钥key_set("NEW_FAKE_TOKEN", keyring ="Rcredentials") 。

而且，您可以像以前一样检索值，但是指定密钥环

key_get("NEW_FAKE_TOKEN", keyring ="Rcredentials")

最后，您可以使用keyring_lock("Rcredentials")将密钥环锁定在脚本的末尾。

锁定密钥环后，如果您（或其他任何人）运行key_get("NEW_FAKE_TOKEN") ，系统将要求您（或他们）提供密钥环密码。

现在，R中的密码和令牌有了更多的安全性。

翻译自: https://www.infoworld.com/article/3320999/r-tip-keep-your-passwords-and-tokens-secure-with-the-keyring-package.html

黑与金的钥匙圈