是的，您绝对应该散列您的 API 密钥。实际上，它们是您的密码，应该这样对待。请注意，这是散列的 - 未加密。您永远不需要解密 API 密钥，因此您应该无法解密。

正如saghaulor所说，您需要确保使用版本 4 UUID（即随机的），并且在生成它们时使用加密安全的随机源。由于正确生成的 UUID 包含122 位熵，因此您不必担心加盐或使用像 bcrypt 这样的慢散列函数。一轮 SHA-256 就足够了。

您的设计中存在问题的部分是您为用户提供了通过邮件传递的“密码”，并且他们无法更改。对于有安全意识的用户来说，这可能还不够好。也许你提到的门户会解决这个问题。

1) 确保您使用安全的随机生成器来生成您的 UUID。

2) 不要通过电子邮件发送 API 密钥。电子邮件不能保证安全传输，也就是说，您很可能以明文形式发送密钥。

3) 您如何实现身份验证机制将影响您如何存储 API 密钥。

如果您打算使用 API 密钥作为主密钥，那么您不能对其进行散列或加密，因为如果您正确地散列或加密，搜索实际上是不可能的。

如果您提供给用户的是主密钥和 API 密钥的组合，那么您可以安全地存储 API 密钥。由于密钥实际上是密码，因此建议使用散列法就足够了。

请记住正确使用算法。通常，散列需要为每条记录添加盐。有不同的哈希算法。有些，比如 bcrypt 和 scrypt 可以增加人为的延迟来减缓暴力破解。这可能适合也可能不适合您的用例。不推荐使用某些算法，例如 MD5 和 SHA1，因为它们已被证明是不安全的。

您可以在没有盐的情况下对密钥进行哈希处理，然后您可以进行简单的搜索。这不会像使用盐散列那样安全，但所述方法的安全性可能足以满足您的目的。