あなたの秘密をあなたのリポジトリからチェックアウトしておくべきですか？

Question

は、あなたのgitリポジトリからチェックアウト秘密ファイル（何も含むパスワード、APIキーなど）を維持することをお勧めだという常識のように思える（適応症here、here、here、hereと、より多くがある）

なぜですか？

Answer 1

これらの「秘密」（およびその他のパスワード/セキュリティ/トークン関連値）の値を、リポジトリがチェックアウトされている場所ではなくプロダクション環境でのみ認識することで、セキュリティが強化されます。可能であれば、各環境（たとえば、ローカル開発、開発サーバー、ステージング/デモサーバー、運用環境など）には、独自の認証またはセキュリティパラメータの設定が必要です。これらは、ローカル環境内で構成し、保存しないでくださいアプリケーションのコード自体に

あなたのリポジトリがプライベートであっても、まだ安全ではありません。開発者は出入りします。オペレーションの人々は出入りします。プロジェクトマネジメントは進んで行きます。レポにアクセスできるサードパーティの請負業者がいるかもしれません。十分な大きさのプロジェクトは、時間が経つにつれて多くのアクターが作業する傾向があり、誰もプロダクション設定値（おそらくopsフォークを除く）を知る必要はありません。プライベートレポジトリを使用していても、秘密鍵/値をリポジトリにアクセスするすべての人に公開するセキュリティリスクがあります。