將受保護的數據存儲在Java應用程序中

Question

我們開發了一個Java Web應用程序。 其中一項應用功能是使用用戶提供的憑證與其他網絡服務（如Google日曆）進行通信。

我們不確定保護此憑據的方式。 目前我們正在加密密碼並將加密輸出保存在數據庫中。

加密密鑰存儲在Java KeyStore中。 KeyStore密碼正在作爲系統屬性傳遞給JVM。 這是鏈條的薄弱環節 - KS密碼在加載腳本中可用。

那裏有最佳實踐，可以完全解決這個問題嗎？

Answer 1

甚至不嘗試保存用戶的憑據。使用oAuth爲每位用戶驗證應用，如解釋here。