如何加密程序部署时帐号密码

后端程序，线上环境都是有权限管理的。数据库权限也有设置，登录 ip 限制这些都有。但是直接把数据库用户密码明文写在配置文件貌似不太好。万一服务器被攻破或者有人要删库跑路呢？

经历过的项目，有直接明文的。也有把密钥写到代码里，编译成保密程序，运维用命令行生成加密串放配置文件。

另外部署密码管理中心那种太复杂就不考虑了，小规模的用不到。

自己想过写混淆的。就是把密钥和生成的串混淆在一起，这样解密不需要额外密钥，也不需要硬编码密钥。问题是这防不了要删库跑路的人，他能看到算法。

有没有什么办法可以不需要额外的密钥就可以解密的么(感觉有点违背密码学)？或者好一点的部署方法。