用密钥轮换自动化脚本提升演示安全

做演示时，很多人会把API密钥、数据库密码直接写在配置文件里，甚至上传到公共代码仓库。一旦泄露，轻则被滥用调用额度，重则服务器遭入侵。某次团队分享会上，一位同事的云服务账号因密钥长期未变，被扫出后跑起了挖矿程序，一个月账单飙升到上万。其实，这类风险完全可以通过密钥轮换自动化脚本规避。

为什么需要自动轮换？

手动改密钥费时费力，还容易遗漏。尤其是涉及多个服务、环境多副本部署时，靠人去记周期、执行更换，基本不现实。自动化脚本能定时触发，生成新密钥、更新配置、重启服务，全程无人干预。比如每周日凌晨两点，脚本自动为演示用的后端接口更换一次访问密钥，旧密钥同步作废。

一个简单的轮换脚本示例

以下是一个用Python编写的简易密钥轮换脚本，适用于本地演示环境：

import os
import string
import random
from datetime import datetime

def generate_key(length=32):
    chars = string.ascii_letters + string.digits
    return ''.join(random.choice(chars) for _ in range(length))

def update_config(new_key):
    with open('config.env', 'w') as f:
        f.write(f'API_KEY={new_key}\n')
        f.write(f'KEY_UPDATED_AT={datetime.now()}\n')

if __name__ == '__main__':
    new_api_key = generate_key()
    update_config(new_api_key)
    print(f'密钥已更新：{new_api_key}')

如何集成到演示流程中

在准备对外展示的PPT或视频录制前，可以先运行一轮密钥更新脚本，确保使用的不是长期有效的固定密钥。再配合CI/CD工具，比如GitHub Actions，设置定时任务定期执行，既不影响演示连贯性，又能保证安全性。某教育机构就在每次公开课演示前，自动触发密钥刷新，观众看到的接口调用，背后用的都是临时有效的新密钥。

别忘了清理旧密钥

生成新密钥只是第一步，旧密钥必须及时禁用。可以在脚本末尾加入清理逻辑，比如将历史密钥记录到黑名单表，或调用云平台API直接删除过期凭证。AWS IAM就支持通过CLI命令删除指定Access Key，脚本能轻松集成这类操作。