如何通过Github Webhooks安全地加密秘密？

Question

我有一个在服务器上运行的服务，只要我使用Github Webhooks将新代码推送到存储库，就会更新并重新启动它。 它可以访问一堆数据库，这些数据库的凭据被硬编码到配置文件中。 我想加密配置文件，只在服务启动时将其解密到内存中。

由于我已经启动了服务，因此看起来加密密钥需要存在于Web服务器上，这首先破坏了加密文件的重点。

我可以使用Github的某些身份验证属性作为加密密钥，还是以其他方式将密钥传递给未保存到磁盘的服务器？ 该文件应如何保护？

Answer 1

该文件应如何保护？

不是由GitHub或任何与Git相关的。

你需要：

• 外部服务（如hashicorp / vault ）
• 或者能够安全地分发秘密的平台（如码头秘密 ）

但GitHub本身只托管回购，它不管理机密。
GitHub webhook只是一个回调，意味着有一个服务正在收听该回调。