github - 在 git/travis 工作流程中存储敏感信息

Question

我使用 Github 作为我正在构建的包的存储库。目前，我有一个 .travis.yml 文件设置，有助于在代码插入时自动测试代码。最终我想将包部署到像 PyPI 这样的服务。 )但语言和包管理器对这个问题并不重要)。

Reading the documentation shows that its relatively easy to do this automatically:

For a minimal configuration, all you need to do is add the following to your .travis.yml:

deploy:
  provider: pypi
  user: "Your username"
  password: "Your password"

除了一个相对较小的问题，我需要将 PyPI 的用户名和密码放入公开可见的 yaml 文件。

显然这是不好的做法，我确信有办法通过 token 或其他方式解决这个问题，但谷歌搜索显示 lots of suggestions along the same lines “将您的密码放在这里”。

我在这里遗漏了什么吗？或者人们只是将他们的身份验证 key 放入公开可见的文件中？

Answer 1

如果您search GitHub for password .pypirc或.travis.yml ，您实际上会发现许多用于生成.pypirc(例如)文件的脚本。

主要思想是对 .travis.yml 模板进行版本控制，并使用部署过程将占位符值(例如密码:@password@)替换为实际值不应将密码存储在 git 存储库中。