security - 开源项目 : what to do with private/secret config data?

Question

我正在考虑在 Github 上为我的一个实时网站开源代码。到目前为止，我一直将代码存储在一个私有(private)仓库中，我唯一担心的是有一些与我的生产环境相关的配置文件(数据库密码、API key 等)我不想成为公开可见。

在不暴露私有(private)数据的情况下开源此类项目的典型方法是什么？您是否只维护两个存储库，一个公共(public)存储库和一个相同的私有(private)存储库，其中包含添加的私有(private)数据，偶尔会在两者之间合并？

Answer 1

对于 Git，我建议您在 .gitignore 中添加规则。忽略包含敏感信息的文件(.hgignore 用于 Mercurial)。尽量将敏感信息保存在一个地方(例如设置文件)。如果您使用 Web 框架，此信息通常在一个文件中(例如，在 Django 中，有一个 settings.py 文件，其中包含 DB 信息、 key 等) ，将该信息分解为某种配置文件或对象。

如果您希望人们仍然知道数据的来源，请包含一个带有假数据的示例或虚拟文件，并在某处(在文件中或在自述文件中)标明必须更改文件。然后您可以命名该文件，例如，settings.py.example并忽略真正的settings.py .

保持多个 repo 是一个坏主意。只需忽略敏感数据，并确保清楚地表明它丢失了以及丢失了什么，这样人们仍然可以重用你的工作。