Dopbase 上手教程

单文件密钥管理器 · 懒猫微服版 —— 从初始化到给应用接密钥，10 分钟走完

1Dopbase 是什么

Dopbase 是一个自托管密钥管理器：把 API Key、会话密钥这类敏感配置集中存放在你自己的微服上，加密后落在本机，不进浏览器、不上云。你的应用在启动时通过令牌取用，仓库和镜像里从此零秘密。

2首次初始化（一次性）

第一次打开应用会进入「设置你的服务器」页面。它需要一个 setup token——服务器只在首次启动时把它打印进应用日志：

1. 回到懒猫微服桌面，找到 Dopbase 的「应用详情 → 日志」；
2. 在日志里找到 Dopbase setup token (shown once): 那一行，复制 setup_ 开头的字符串（日志里还带一个 /setup?token=… 链接，点它会自动填入）；
3. 回到本页粘贴 token，填写邮箱和密码（12–128 位），提交。

3登录

手动登录用刚才创建的管理员账号。左侧面板会显示端点与健康状态：

4项目 → 环境 → 密钥

Dopbase 用三层结构组织秘密：项目（一个应用）→ 环境（prod / staging / dev）→ 密钥（键值对）。左侧项目栏列出全部项目：

5存取与轮换密钥

在「密钥」面板添加键值；行内「显示」可查看明文（会记入审计），每次修改自动升版本：

改值后，应用重启会拿到新值——这是轮换密钥的标准做法：改一个值，重启消费方，旧会话全部失效。

6两分钟验证（看到密钥流动）

这一节让你亲眼确认闭环工作：密钥存进微服 → 令牌取用 → 返回明文。全程不用写代码：

1. 「项目」页点「载入示例项目」得到 demo-shop/prod（已有项目可跳过）；
2. 切到「Runner 令牌」页，新建一枚令牌（如 verify-demo）；
3. 创建成功的弹窗里有「立即验证」区块——点「复制命令」，把 curl 命令粘贴到任意终端执行；
4. 终端返回一段 JSON：entries 里能看到 SHOP_API_KEY 等密钥明文，即令牌签发、鉴权、加密存取全链路通过。

curl -s -H "Authorization: Bearer dbs_****" \
  https://dopbase.<box-user>.heiyu.space/api/v1/environments/env_****/secrets/runtime
# → {"project":"demo-shop","environment":"prod","entries":[{"key":"SHOP_API_KEY","value":"demo-key-123"},…]}

7备份（请务必读这节）

定期到「备份」页创建 .dop 备份（包含密钥数据与主密钥两个文件），下载并妥善离线保存。换机 / 重装时用初始化页的「从备份恢复」+ 主密钥文件即可完整迁回。

8给你的应用接密钥（进阶）

在项目的「Runner 令牌」页创建一枚令牌（绑定该环境，只能读这个环境的密钥值）：

把下面三行交给你的应用（写入它的 .secrets/ 等不入库位置）：

DOPBASE_BASE_URL=https://dopbase.<box-user>.heiyu.space
DOPBASE_RUNNER_TOKEN=dbs_****（你的令牌）
DOPBASE_ENV=demo-shop/prod

应用启动时调两个接口即可：按名解析环境，再取运行时密钥：

GET /api/v1/environments/resolve?reference=demo-shop/prod
GET /api/v1/environments/{env_id}/secrets/runtime

常见问题

• API 返回 307 到登录页？ 用浏览器直接打开属正常（微服登录门）；程序调用请走上面的 API 前缀并用 Runner 令牌。
• 卸载重装后还要初始化吗？ 数据目录不会随卸载清除——管理员和数据都还在，直接登录即可。
• 令牌泄露了？ 在 Runner 令牌页立即吊销，再发一枚新的。