是否有可能安全/有保障地将API密钥等签入存储库？

Question

我将敏感的细节(例如，AWS秘密)加载到我的node项目中，使用dotenv &一个.env文件，我在.gitignore中包含了这个文件，因为我已经阅读了这是最佳实践。

如果我想将其他人添加到这个项目中，甚至在另一个系统上克隆回购，那么传递这些敏感细节的最有效/最安全的方法是什么？我想电子邮件/谷歌驱动器已经过时了，但我不确定什么是“I”。

我的回购是私有的--这是否意味着‘不要签入API密钥’的建议不那么具体？在我看来，任何有权限查看回购的人都可能需要相关的API密钥，所以简单地签入并不是太不合理。

Answer 1

安全总是权宜之计。没有真正的绝对。您对访问存储库和(潜在的) git主机访问密钥的人是否很满意？是否所有开发人员的计算机都是安全的，并使用磁盘加密？钥匙能给你什么权限？AWS上的一切？你是否信任那些能够使用回购协议的人，使他们能够保持安全，而不会意外地分享更多的东西？关键是，你需要试着充分理解泄露秘密的方式。

就我个人而言，我宁愿将它们排除在git之外，并通过usb棒或加密的电子邮件向开发人员分发密钥。只对那些需要他们的人。实际上，只有一部分开发人员需要访问。

如果你认为这太冒险了，那就确保你把所有的秘密都替换掉了。不要仅仅从存储库中删除它们。一旦他们在那里，他们就永远在那里。