Dunia 8: Perisai: Keselamatan

Imbasan rahsia dan perlindungan push

Anda akan belajar: cara GitHub tangkap kunci yang bocor, sebelum dan selepas push.

Teks BM belum disemak oleh penutur asli.

Masalahnya

~/diary $ git diffdiff --git a/app.js b/app.jsindex f9e5b50..85fdc47 100644--- a/app.js+++ b/app.js@@ -1,3 +1,3 @@ // Weather widget-const key = process.env.API_KEY;+const key = "fake_demo_key_123"; showWeather("Ipoh", key);

Sebab tergesa-gesa, anda tampal kunci terus dalam app.js. Anda hampir buat push. Sempatkah sesiapa perasan?

Tengok

GitHub ada pengawal bernama (imbasan rahsia). Ia baca repo anda, termasuk commit lama, untuk cari kunci. Jumpa satu? Ia beri amaran, supaya anda boleh bertindak. Repo awam dapat percuma.

Cuba

Jadi pengimbas! Ketik setiap baris yang ada rahsia.

Ketik setiap baris yang ada rahsia.

0 daripada 2 dijumpai

Tengok

(perlindungan push) semak push anda sebelum ia sampai. Nampak kunci? GitHub sekat push itu dan tunjuk di mana kunci itu. Rahsia tak pernah sampai ke repo.

Cuba

Susun push yang disekat ikut urutan. Langkah pertama di atas.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

Anda push semula dengan selamat
Push disekat
Anda keluarkan kunci dari commit
Anda push commit anda
GitHub nampak kunci itu

Teka

Push protection sekat anda. Kunci itu kunci sebenar. Apa langkah terbaik?

Semak

Pengawal mana yang buat? Susun setiap kad.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

Anda berjaya!

Kini anda boleh biar pengawal GitHub tangkap kunci yang bocor untuk anda.

Nak tahu lebih (pilihan)

Sesetengah servis bekerjasama dengan GitHub. Jika kunci mereka bocor dalam repo awam, GitHub beritahu mereka. Mereka boleh batalkan kunci itu dengan cepat. Push anda ke repo awam dapat push protection secara lalai. Alat seperti gitleaks boleh semak sebelum anda commit lagi.