是否可以安全/安全地將API密鑰等檢入到存儲庫中？

Question

我將敏感細節（例如AWS Secret）加載到我的node項目中，dotenv &和.env文件，我將其包含在我的.gitignore中，因爲我已閱讀這是最佳做法。

如果我想將其他人添加到項目中，甚至克隆另一個系統上的回購，那麼傳輸這些敏感細節的最有效/安全的方式是什麼？我假設電子郵件/谷歌驅動器已經停用，但我不確定內容是什麼。

我的回購是私人的 - 這是否意味着'不簽入API密鑰'的建議不太具體？正如我所看到的，任何獲得回購許可的人都可能需要相關的API密鑰，因此只需檢查它們似乎並不太合理。

Answer 1

安全性總是一種方便的權衡。沒有真正的絕對。訪問存儲庫和訪問密鑰的（潛在）git主機的人是否很酷？所有開發人員的計算機是否安全並使用磁盤加密？鑰匙可以提供什麼功能？ AWS上的所有內容？你相信有權訪問回購的人員足以保持安全，並且不會意外地分享更多內容？關鍵是你需要嘗試完全理解祕密可能泄露的方式。

個人而言，我寧願將它們放在git之外，並通過USB棒或加密電子郵件將密鑰分發給開發人員。只有需要它們的人才可以。只有我們開發人員的一部分實際需要訪問。

只要確定你替換了所有的祕密，如果你確定它太冒險了。不要從存儲庫中刪除它們。一旦他們在那裏，他們永遠在那裏。