让应用的交易密钥和 Secret 不落在服务器的磁盘上

交易密钥如何送达应用

• 保存位置：erpc login 将会话保存在 1Password 中时，erpc worker key new 在 1Password 中创建密钥；否则在钥匙串中创建；再否则在密钥库中创建。erpc.toml 记录密钥的引用及其公钥。
• 在服务器上：erpc worker agent 只在内存中持有密钥。它使自身无法被转储并锁定其内存，通过文件描述符将密钥交给应用；应用读取后将其擦除。
• 重启之后，worker 恢复后处于锁定状态：在 erpc worker start 再次发送密钥之前，应用不会运行。失败或被终止的 agent 会由 systemd 再次启动，恢复后同样处于锁定状态。
• 软件包更新不会重启 worker。deploy 让 needrestart 不要动 worker 单元：在自动模式下，它会推迟这些单元；在终端中被询问时，它对这些单元的默认回答为“否”，因此无人值守的安全更新不会重启应用。无法写入该规则时，部署会说明这一点并继续，此后 worker 在没有这项保护的情况下运行。

选择值的保存位置

1. 1Password，当 erpc login 将会话保存在其中，或指定了 --vault 时。
2. 操作系统钥匙串，在它能跨重启保存值的环境中：macOS、Windows，以及在已登录会话中带有桌面密钥环的 Linux。
3. erpc 的密钥库，在没有这类密钥环的 Linux 机器上：无头服务器、WSL、SSH 登录。在这类机器上，--store keychain 会被拒绝。

保存 Secret

erpc worker secret put API_TOKEN --generate          # the bot's own API token, made for you and shown to nobody
erpc worker secret put ERPC_API_KEY --from-account   # the account's RPC key, read from your account (or SOLANA_RPC_ENDPOINT in [vars])

erpc worker secret put API_TOKEN --generate          # the bot's own API token, made for you and shown to nobody
erpc worker secret put ERPC_API_KEY --from-account   # the account's RPC key, read from your account (or SOLANA_RPC_ENDPOINT in [vars])

• --generate 生成值：32 个随机字节，以 64 个十六进制字符表示。
• --from-account 保存您账户中第一个被共享 RPC 接受的 RPC 密钥。密钥按顺序尝试，主要密钥优先，每个密钥发送一次 getHealth，等待应答 8 秒。应答为 401 或 403 的密钥会被拒绝并尝试下一个，只有被 RPC 接受的密钥才会被保存。命令会说明它是账户的主要密钥还是其他密钥（使用 --json 时为 account_key）。
• 两种值都不会被打印，使用 --json 时也不会。首次使用密钥库，或密钥库处于锁定状态时，需要有人在终端前操作。
• 密钥是从本机尝试的，因此仅限服务器地址使用的密钥在这里会被拒绝，尽管它在服务器上可用。所有密钥都被拒绝时，--from-account 不保存任何内容，由您手动保存您要用的密钥，可以不显示地输入或通过管道传入。无法询问 RPC 时，它不保存任何内容，erpc.toml 保持原样；请再次运行同一命令。

erpc worker secret put ERPC_API_KEY        # asks for the value, unseen

erpc worker secret put ERPC_API_KEY        # asks for the value, unseen

• --replace 为已设置的名称保存新值。erpc worker secret list 按名称列出 Secret 设置及各自的保存位置。
• 数据线路提供的设置（GRPC_ENDPOINT、SHREDS_ENDPOINT、SOLANA_SEND_RPC_ENDPOINT）绝不是 Secret：由 --grpc、--shreds 和 --unlimited 设置。

密钥库

• master.json 保存一个随机的 32 字节主密钥，该主密钥由 PBKDF2-HMAC-SHA256（600,000 次迭代）从您的密码短语派生的密钥封存。每个条目保存一个值，以其自己的密钥通过 ChaCha20-Poly1305 封存。
• 密码短语：首次使用密钥库的 key new 或 secret put 会让您设定它，在终端中输入两次，长度为 12 个字符或以上。erpc 只从该隐藏输入提示获取它，从不从参数、环境变量或管道获取。
• 在 Linux 上解锁：密码短语打开密钥库后，解锁状态会保存在内核的持久密钥环中（位于内存），直到机器重启、密钥环在其空闲过期时间内未被使用（三天，除非系统另有设置），或运行 erpc worker secret lock。erpc worker secret unlock 预先询问密码短语，并说明解锁持续到何时。在未经自身登录而启动的 shell 中（不带 - 的 su、sudo -E），不会保存解锁状态，每条命令都会询问。
• 终端前无人操作时，需要密钥库的命令会在有解锁状态时使用它，否则失败，并提示 erpc worker secret unlock。已解锁的密钥库交出的是 Secret，而不是交易密钥。
• 在 macOS 和 Windows 上（--store keystore），不会保存解锁状态：每条需要密钥库的命令都会询问一次密码短语，因此需要终端。

密钥库能保护什么，不能保护什么

• 请备份 keystore 目录并记住密码短语。erpc 两者都无法恢复，缺少其中任何一个，密钥库保存的内容就会丢失。
• 拥有密钥库文件和密码短语的人就拥有密钥。PBKDF2 让每次猜测都变慢，但不能让可被猜到的密码短语变得安全。
• 密钥库处于解锁状态时，以您的身份运行的任何程序都能从内核密钥环读取主密钥（会话中没有您密钥环的程序也可以将其链接进来），并打开每个条目，包括密钥的条目。erpc 自己的规则（[wallet] 指定的密钥只为终端前的人读取，绝不为 AI 工具读取；保存在密钥库中的密钥绝不作为 Secret 打开）是 erpc 的行为；它们不约束以您的身份运行的其他程序。用完后请运行 erpc worker secret lock。
• 条目名称不会被隐藏，条目的大小会显示值的长度。
• 被修改的文件无法打开；但放回原处的同一条目的旧副本可以打开。
• erpc worker secret rm 删除 Secret 的密钥库条目及其在 erpc.toml 中的行（除非应用的其他设置指定了同一条目），而 1Password 或钥匙串中的值保留原处。它不会擦除磁盘，您备份中的副本也会保留。
• erpc 从不删除或覆盖交易密钥的条目。要替换密钥，请先转移资金，然后自行删除其文件和 [wallet]。
• 在密钥库或钥匙串中，设置不能命名为 WALLET（不区分大小写）；--store 1password 可以使用该名称。

使用交易密钥