Nginx& gunicorn进程都作为www-data运行.

我的Web应用程序需要安全凭据,我将其存储在environment.sh文件中.此文件包含各种导出,并在gunicorn进程执行之前使用source运行.

我关心的是environment.sh文件的位置及其权限.是否可以将此文件存储在www-data可以访问的/ srv文件夹中？或者它应该由root存储和拥有在其他地方,例如/var/myapp/environment.sh？

此外,关于www-data用户,如果我的任何Web进程(以www-data运行)受到危害并且有人获得对它们的访问权限,这是否意味着用户可能会读取系统上的任何文件,即使他们不能写？包括我的安全密钥？