如何通過Github Webhooks安全地加密秘密？

Question

我有一個在服務器上運行的服務，只要我使用Github Webhooks將新代碼推送到存儲庫，就會更新並重新啟動它。 它可以訪問一堆數據庫，這些數據庫的憑據被硬編碼到配置文件中。 我想加密配置文件，只在服務啟動時將其解密到內存中。

由於我已經啟動了服務，因此看起來加密密鑰需要存在於Web服務器上，這首先破壞了加密文件的重點。

我可以使用Github的某些身份驗證屬性作為加密密鑰，還是以其他方式將密鑰傳遞給未保存到磁盤的服務器？ 該文件應如何保護？

Answer 1

該文件應如何保護？

不是由GitHub或任何與Git相關的。

你需要：

• 外部服務（如hashicorp / vault ）
• 或者能夠安全地分發秘密的平台（如碼頭秘密 ）

但GitHub本身只托管回購，它不管理機密。
GitHub webhook只是一個回調，意味着有一個服務正在收聽該回調。