使用Git-Crypt和GPG加密Git代码库中的敏感信息
使用Git-Crypt和GPG加密Git代码库中的敏感信息
在软件开发过程中，经常需要在代码库中处理敏感信息，比如API密钥、密码或配置文件等。这些信息如果被未经授权的人访问，可能会导致安全漏洞或数据泄露。因此，保护这些敏感信息变得至关重要。本文将介绍如何使用Git-Crypt和GPG（GNU Privacy Guard）来加密Git代码库中的敏感信息。
为什么需要Git-Crypt？
Git-Crypt是一个基于Git的加密工具，它允许在Git项目中透明地加密和解密文件。使用Git-Crypt，开发者可以在代码库中安全地存储敏感信息，而无需担心这些信息被未授权的人访问。Git-Crypt利用GPG密钥进行加密，确保只有拥有正确密钥的用户才能解密敏感信息。
安装Git-Crypt
在大多数Linux发行版和macOS上，可以通过包管理器安装Git-Crypt：
- Debian/Ubuntu:
sudo apt-get install git-crypt
- macOS（使用Homebrew）:
brew install git-crypt
- Windows
Windows用户可以在Git-Crypt的GitHub项目Release页面中下载，下载地址为https://github.com/AGWA/git-crypt/releases/tag/0.7.0，下载x86_64版本，然后可以直接放到C:\Program Files\Git\cmd目录下（该目录必须包含在环境变量中）。
安装完成后，你可以使用以下命令验证是否安装成功：
git-crypt --version
示例输出：
PS D:\projects\ecpcb\galaxy-core> git-crypt --version
git-crypt 0.7.0
初始化Git-Crypt
在你的Git项目根目录下，运行以下命令来初始化Git-Crypt：
git-crypt init
示例输出：
PS D:\projects\ecpcb\galaxy-core> git-crypt init
Generating key...
这个命令会在项目中创建一个.git-crypt目录，在Windows PowerShell下会生成.git\git-crypt\keys用于存储Git-Crypt的配置和密钥信息。如果你进入到.git\git-crypt\keys目录中，可以看到默认的key文件。
配置Git-Crypt
然后在项目文件根目录下创建.gitattributes文件，指定需要加密哪些文件。下面的配置为自动加解密.secrets文件下的所有文件：
# Do not edit this file. To specify the files to encrypt, create your own
# .gitattributes file in the directory where your files are.
* !filter !diff
.secrets/** filter=git-crypt diff=git-crypt
*.gpg binary
加密之前需要将对称加密的密匙导出到其他文件，以便于后面解密：
git-crypt export-key ../git-crypt-key
然后在根目录下创建.secrets文件夹，并创建一个passwd文件测试一下。
运行加解密命令
需要加密文件添加完毕之后，然后运行：
git add . | git commit -m 'git-crypt test'
此时如果你push到GitHub代码库就会发现文件被自动加密了。点击view raw会自动下载加密过的文件，可以打开看看其实是已经加密的文件了。