可以將travis機密提交公開回購？

Question

我將travis用於我的一些公共github倉庫。 對於部署步驟（例如，在github中創建發行版），我需要放入OAuth令牌（由travis加密）

是否可以安全地將此加密令牌一起提交到公共回購源代碼中？ 由於它是公共存儲庫，因此我可以想象任何人都可以看到源代碼並獲取我的加密令牌。 雖然他們不能解密它，但是他們可以使用相同的令牌在我的github回購中創建一個發行版？

但是，如果不提交源代碼，什么是最好的管理方式？

Answer 1

是。 .travis.yml 加密環境變量是安全的。 加密/解密密鑰由Travis在每個存儲庫的基礎上生成，因此，當其他人分叉您的存儲庫或即使您重命名該存儲庫時，加密變量也將無效，您必須再次對其進行加密。

根據Travis CI，除自動Travis流程外，沒有人可以解密該值。

唯一可能的泄漏是當您的一位合作者發瘋並決定通過修改構建腳本來揭示該泄漏時。 但是，由於您擁有信任系統，所以這不會成為問題。

Answer 2

您永遠不應在公共/私人倉​​庫中存儲機密。 您可以將信息存儲在環境變量中。 例如，您可以將.env文件添加到.gitignore，並且可以在其中或直接在環境中存儲變量。