Hoppscotch通过启用环境变量加密选项、团队环境共享加密变量、验证加密状态、配置DATA_ENCRYPTION_KEY密钥及禁用明文导出五步实现敏感信息安全存储：勾选?图标启用AES-256加密，仅内存解密；团队共享仅同步密文；审计isEncrypted字段确保全量加密；自托管需配置32字节DATA_ENCRYPTION_KEY；并清理历史明文残留。

如果您在Hoppscotch中管理API密钥、令牌或数据库凭证等敏感变量，但担心其以明文形式暴露或同步至云端，则需启用系统内置的加密存储机制。以下是实现环境密钥安全存储的具体方法：

一、启用环境变量加密选项

Hoppscotch在创建或编辑环境变量时提供显式加密开关，勾选后系统将自动调用AES-256算法对值进行加密，并仅在内存中临时解密供请求使用，确保敏感值永不写入日志、不导出为明文、不通过网络明文传输。

1、在Hoppscotch主界面点击右上角「环境」图标，选择「管理环境」。

2、点击「添加新环境」或编辑已有环境，在变量列表下方点击「添加变量」。

3、在变量名输入框右侧，勾选带有?图标的「加密」复选框。

4、在变量值栏输入敏感内容（如GITHUB_CLIENT_SECRET），保存后该值即被加密存储于IndexedDB或后端数据库中。

二、通过团队环境共享加密变量

团队协作场景下，加密环境变量可被安全共享，因所有变量在同步前均已加密，且解密密钥仅存在于当前用户会话内存中，服务端无法还原原始值，从而杜绝跨成员密钥泄露风险。

1、进入「团队环境」设置页，点击「新建团队环境」。

2、添加变量时，对每个需共享的敏感项均启用「加密」选项。

3、完成配置后点击「共享」，系统将仅同步加密后的密文及元数据（如变量名、作用域）。

4、其他团队成员接收后，仅可在自身本地运行时解密使用，无法查看原始值或导出明文。

三、验证加密状态与审计变量

系统在变量名旁显示?图标即表示已启用加密；通过环境变量审计可确认所有标记为敏感的配置项（如JWT_SECRET、MAILER_SMTP_PASSWORD）是否全部处于加密状态，防止遗漏导致明文暴露。

1、打开任意环境配置页，逐行检查变量名右侧是否存在?图标。

2、在浏览器开发者工具中，切换至Application → IndexedDB → hoppscotch-db，定位environment_variables对象存储，查看对应记录的isEncrypted字段是否为true。

3、若发现未加密的敏感变量（如含_SECRET、_KEY、PASSWORD字样的变量名），立即编辑并启用加密选项。

四、自托管部署下配置DATA_ENCRYPTION_KEY

对于自托管Hoppscotch后端实例，加密强度依赖于环境变量DATA_ENCRYPTION_KEY。该密钥用于调用encrypt()和decrypt()函数，若未设置，系统将抛出错误并拒绝存储加密变量，因此必须显式注入且不可硬编码。

1、在部署服务器上，编辑后端启动环境文件（如.env），添加一行：DATA_ENCRYPTION_KEY=32字节随机密钥（如通过openssl rand -hex 32生成）。

2、确保该文件权限设为600，且不在Git仓库或公开配置中提交。

3、重启Hoppscotch后端服务，验证packages/hoppscotch-backend/src/utils.ts中encrypt()函数能正常调用。

4、尝试新增一个加密变量，检查数据库infra_config表中对应记录的isEncrypted字段是否为true，且value字段内容为密文。

五、禁用明文导出与清理历史残留

Hoppscotch默认禁止导出加密变量为明文，但用户可能曾手动复制未加密变量或在请求体/头中硬编码敏感值。需主动清理历史痕迹，阻断非加密路径的数据暴露面。

1、进入「设置」→「隐私与安全」，关闭「启用请求历史同步」，防止含敏感信息的历史记录上传至云端。

2、在「历史记录」页，筛选包含Authorization、Bearer、api_key等关键词的请求，逐条删除。

3、检查所有已保存的REST/GraphQL集合，确认请求头与参数中未直接填写密钥，全部替换为{{VARIABLE_NAME}}引用格式。

4、清除浏览器缓存与IndexedDB中旧版未加密环境变量副本：在开发者工具Application → Clear storage → 勾选IndexedDB并点击「Clear site data」。