将凭据存储在 github secrets 中是否安全？

Question

Github Secrets提供了一种将凭据传递给 Github 操作的方法，但是它们是否足够安全以使用高度敏感的凭据来信任？

Answer 1

我不确定是否有人能真正为你回答这个问题。 我认为这取决于您的敏感程度以及您可以承受的风险水平。

如果您担心机密的安全性，我建议不要直接使用第三方 GitHub 操作。 始终分叉操作并在工作流程中使用分叉。 这将防止有人修改您用来捕获机密并将其发送到受其控制的外部服务器的操作的可能性。

Answer 2

机密是您在组织、存储库或存储库环境中创建的加密环境变量。 您创建的密钥可用于 GitHub 操作工作流。 GitHub 使用libsodium 密封盒来帮助确保机密在到达 GitHub 之前已加密，并在您在工作流程中使用它们之前保持加密状态。 有关更多详细信息，请参阅https://docs.github.com/en/actions/security-guides/encrypted-secrets

通过添加组织级别的访问策略来添加额外的保护层，并使审阅者能够控制 env 机密。