github - 在 github 操作中使用 openssl

Question

我想将 github 操作的工件发布到特定的更新存储库，以便我的软件可以使用它来更新自身。为了在本地更新过程中验证更新，我想对这个工件进行签名。我现在选择将更新本身和签名存储在单独的文件中。
我的 github 操作将采用压缩的工件，并应使用给定的 RSA4096 私钥对其进行签名，并应使用 SHA512 作为摘要。
我的 github 操作如下所示:

- name: Sign release
  run: |
    echo $PRIVATE_KEY > privatekey.pem
    openssl dgst -sha512 -sign privatekey.pem -out latest.sig latest.zip
    env:
      PRIVATE_KEY: ${{ secrets.PRIVATE_KEY }}

这个 github 操作应该从存储库的 secrets 中获取我的私钥，将其放入环境变量中，然后将其放入本地文件中，以便以下 openssl 命令可以使用此私钥对其进行签名。我这样做是为了阻止私钥本身被回显到日志中。
私钥值如下:
(这当然不是实际的私钥，而是我创建的仅用于测试目的的私钥，直到此 github 操作正常工作为止。此私钥只有 1024 位，而不是上面提到的 4096 位。此后我将不再使用此私钥。 )

-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----

问题是执行这一步时github操作的日志输出如下:

unable to load key file
6196:error:0909006C:PEM routines:get_name:no start line:crypto\pem\pem_lib.c:745:Expecting: ANY PRIVATE KEY

这意味着回显到 privatekey.pem 的不是实际的私钥 secret 值，而是别的东西。我无法在后续测试中打印出文件的内容。没有使用 necho 或 cat 命令或任何类似的命令，所以我实际上不知道写入文件的内容，这使我无法更深入地进行分析。
这里有人能够推断出一些有用的提示或解决此问题的方法吗？

Answer 1

您的问题的一部分可能是缺乏引用。当您不在 shell 中引用变量时，它会在空格(空格、制表符和换行符)上拆分，因此您要传递给 echo是几个不同的参数，它们不是由换行符分隔，而是通过 echo 由空格分隔。
你可能想写这个(注意 $PRIVATE_KEY 周围的引号:

- name: Sign release
  run: |
    echo "$PRIVATE_KEY" > privatekey.pem
    openssl dgst -sha512 -sign privatekey.pem -out latest.sig latest.zip
    env:
      PRIVATE_KEY: ${{ secrets.PRIVATE_KEY }}

通常，在使用变量时将所有变量放在双引号中是一种很好的做法，除非您确定希望 shell 扩展它们。
当然，所有这些仅在您使用 POSIX shell 时才适用，这意味着您需要使用 Unix 或 bash在 Windows 上，因为您使用的语法是 POSIX shell 语法。
与大多数 CI 系统一样，GitHub Actions 尝试清理其输出以防止泄露意外打印到日志的 secret ，这就是您无法打印值的原因。