38729 位用户此时在线
24小时点击排行 Top 10:
- 本站自动实时分享网络热点
- 24小时实时更新
- 所有言论不代表本站态度
- 欢迎对信息踊跃评论评分
- 评分越高,信息越新,排列越靠前
2
1
0
昨天找到最棒的一篇关于密钥安全的最佳实践,在我看来,是一篇每个人的必读文章,真的写的太好啦
我还记得今年早些时候有人将私钥不小心提交到了 Github…
IT技术
(
blog.gitguardian.com
)
由
Viking
提交
昨天找到最棒的一篇关于密钥安全的最佳实践,在我看来,是一篇每个人的必读文章,真的写的太好啦
https://t.co/grXukwOUpD
我还记得今年早些时候有人将私钥不小心提交到了 Github 上面造成巨额的虚拟货币损失的问题,也提出了自己的解决方案,这篇文章汇总了目前所有的解决方案以及它们的优劣,并且给出了 Cheatsheet。
大纲:
* 永远不要将 secrets 明文存储在 repo 中
- 限制 git add * 命令
- 设置 .gitignore
- 别相信肉眼,使用代码自动扫描工具(比GitGuardian)
- 不要在聊天软件里面直接拷贝分享
* 安全保存,三种方案可以按照需求选一种
- 使用加密软件加密后保存在 repo 中(文中提到的 git secrets 以及 SOPS)
- 使用本地环境变量(永远只在本地使用,不同步)
- 使用 Secrets as a service 第三方服务(比如 AWS Key Management Service)
* 限制API 的访问权限
至于我本人做简单简历 https://t.co/xMu5JFIGnr 方案 , 最早我使用的是 git secrets 存储在repo 中,后来我觉得麻烦而且还是不安全,就使用了本地环境变量,然后将所有 secrets 都存在 本地 enpass 软件中。因为我是一人团队,不需要共享这些数据。
至于线上,我用的是 github actions 中的 secrets,每次构建的时候,使用它们创建对应的 .env 文件。
下图是 Cheatsheet,可以在网址中下载 pdf 文件。