可以将travis机密提交公开回购？

Question

我将travis用于我的一些公共github仓库。 对于部署步骤（例如，在github中创建发行版），我需要放入OAuth令牌（由travis加密）

是否可以安全地将此加密令牌一起提交到公共回购源代码中？ 由于它是公共存储库，因此我可以想象任何人都可以看到源代码并获取我的加密令牌。 虽然他们不能解密它，但是他们可以使用相同的令牌在我的github回购中创建一个发行版？

但是，如果不提交源代码，什么是最好的管理方式？

Answer 1

是。 .travis.yml 加密环境变量是安全的。 加密/解密密钥由Travis在每个存储库的基础上生成，因此，当其他人分叉您的存储库或即使您重命名该存储库时，加密变量也将无效，您必须再次对其进行加密。

根据Travis CI，除自动Travis流程外，没有人可以解密该值。

唯一可能的泄漏是当您的一位合作者发疯并决定通过修改构建脚本来揭示该泄漏时。 但是，由于您拥有信任系统，所以这不会成为问题。

Answer 2

您永远不应在公共/私人仓​​库中存储机密。 您可以将信息存储在环境变量中。 例如，您可以将.env文件添加到.gitignore，并且可以在其中或直接在环境中存储变量。