node.js - pm2 部署 [node.js] - stash 凭证和敏感数据

Question

我的目标是 stash 我的 git 存储库中的凭据。我的整个应用程序管道使用 Jenkins MultiBranch + PM2 和部署功能。

下面的示例应用程序运行良好，它使用 pm2 进行部署，功能上没有问题，只是安全性有问题。

但是，正如您所看到的，环境变量是使用其中的密码设置的。

PM2 的 native 工作流程在执行时从 git 中提取。因此，我需要以某种方式将我的凭据安全地保存在 git 中，或者将它们放在我的存储库之外，但是存储库之外的任何文件都可能会在部署 Node 中丢失和遗忘。

通常我只会将密码硬编码到配置文件中，但这意味着配置文件要么必须与存储库完全隔离(不好，很容易丢失/忘记)，要么将密码放入配置文件中配置文件并 checkin (我现在遇到的问题相同)。

另一个想法是在存储库中保留一个"template"配置文件，然后仅在部署服务器上填写它。这可以正常工作，但是在下次执行时，pm2 将 pull 存储库，用 git 版本覆盖我的版本。

综上所述，我对如何做到这一点有点不知所措。

最好的情况是我可以将凭据放入 Jenkins 凭据管理器中，该管理器在构建时传递。然而，由于实际上不是 Jenkins 进行部署(pm2 正在做)，我觉得这是不可能的。

我正在寻找解决这个难题的想法和最佳实践。您如何在应用中处理这个问题？

{
  "apps" : [{
    "name"        : "myapp",
    "script"      : "myapp.js",
    "version"     : "0.0.1",
    "watch"       : true,
    "env": {
      "NODE_ENV": "development"
    },
    "env_production" : {
       "NODE_ENV": "production",
       "PORT": 3009,
       "DB_HOST":"proddb.example.com",
       "DB_PASS":"db_password"
    },
    "env_stage" : {
       "NODE_ENV": "stage",
       "PORT": 3009,
       "DB_HOST":"stagedb.example.com",
       "DB_PASS":"db_password"
    }
  }],
  "deploy" : {
    "stage" : {
      "user" : "pm2deploy",
      "host" : "node01stage.example.com",
      "ref"  : "origin/stage",
      "repo" : "git@example.com:devproj/myapp.git",
      "path" : "/var/www",
      "post-deploy" : ". ~/.bash_profile && npm install && pm2 startOrRestart ecosystem.json --env stage"
    },
    "production" : {
      "user" : "pm2deploy",
      "host" : "node01prod.example.com",
      "ref"  : "origin/master",
      "repo" : "git@example.com:devproj/myapp.git",
      "path" : "/var/www",
      "post-deploy" : ". ~/.bash_profile && npm install && pm2 startOrRestart ecosystem.json --env production"
    }
  }
}

Answer 1

使用dotenv或类似的方法，让您的敏感数据远离 pm2 配置，并使用 env 属性进行 deploy.product 配置，将 ENV 变量注入(inject)远程执行。

来自pm2 docs :

// Environment variables that must be injected in all applications on this env
"env"  : {
  "NODE_ENV": "production"
}

设置示例:

.env:

DB_HOST=proddb.example.com
DB_PASS=db_password

ecosystem.config.js:

require('dotenv').config();

module.exports = {
  "apps" : [{
    "name"        : "myapp",
    "script"      : "myapp.js",
    "version"     : "0.0.1",
    "watch"       : true,
    "env": {
      "NODE_ENV": "development"
    },
    "env_production" : {
       "NODE_ENV": "production",
       "PORT": 3009,
    },
    "env_stage" : {
       "NODE_ENV": "stage",
       "PORT": 3009,
    }
  }],
  "deploy" : {
    "stage" : {
      "user" : "pm2deploy",
      "host" : "node01stage.example.com",
      "ref"  : "origin/stage",
      "repo" : "git@example.com:devproj/myapp.git",
      "path" : "/var/www",
      "post-deploy" : ". ~/.bash_profile && npm install && pm2 startOrRestart ecosystem.json --env stage"
    },
    "production" : {
      "user" : "pm2deploy",
      "host" : "node01prod.example.com",
      "ref"  : "origin/master",
      "repo" : "git@example.com:devproj/myapp.git",
      "path" : "/var/www",
      "post-deploy" : ". ~/.bash_profile && npm install && pm2 startOrRestart ecosystem.json --env production",
      "env": {
        DB_HOST: process.env.DB_HOST,
        DB_PASS: process.env.DB_PASS,
      },
    }
  }
};

.env 应添加到 .gitignore 中，以便您的敏感数据永远不会被 checkin 。