Как мы шифруем OIDC refresh-токены прямо в PostgreSQL
В WikiMind шифруем OIDC refresh-токены через pgcrypto прямо в PostgreSQL и скрываем это за кастомными типами SQLAlchemy: приложению всё выглядит прозрачно, без магии в сервисах.
В WikiMind сделали штуку, которая спасает от лишней боли в коде: шифруем OIDC refresh-токены через pgcrypto прямо в PostgreSQL. Сверху написали кастомные типы SQLAlchemy, чтобы для приложения всё выглядело прозрачно: сохранили — зашифровалось, прочитали — расшифровалось. Без магии в каждом сервисе и без “ой, тут забыли закрыть секрет”.
Компромисс тут честный: дешифровка на стороне БД ест CPU PostgreSQL. Но взамен мы сильно упрощаем приложение и получаем at-rest protection из коробки. В эпоху, когда утечки секретов и supply-chain инциденты снова в топе обсуждений, такой слой защиты — уже не “nice to have”, а база.
Короче: чуть больше нагрузки на БД, зато меньше хаоса в коде и спокойнее спится команде 😌