security - 在公共(public) github 存储库和其他敏感数据中隐藏 OAuth 消费者 secret

Question

我想公开一个私有(private)的 Github 存储库，但该项目包括 OAuth 数据(在 Twitter 身份验证中使用)和数据库 MySQL 登录详细信息。是否有一种常见的做法可以轻松隐藏这些值，或者我应该在提交 repo 协议(protocol)时更改它们？我想这就是我问的原因，因为我可能会忘记。

Answer 1

如果您可以重写您的私有(private)存储库的历史记录(由于协作者数量有限)，那么最好:

• 从所有历史记录中完全删除那些敏感数据
• 将它们存储在“其他地方”(即不在 Git 存储库中，而是在外部源中)
• 使用内容过滤器驱动程序来管理您的实际敏感文件内容。
  例如，参见“What's the easiest way to deal with project configuration files? ”:

这个想法是，在结帐时，根据以下内容生成实际文件:

• 您的环境
• 模板文件
• 值文件(根据您当前的环境，虚拟值可以存储在 Git 存储库中的单独值文件中，也可以是存储在 Git 存储库之外的外部源中的实际敏感值)

更普遍的想法是敏感数据根本不应该存储在 Git 存储库中。