如何在 Rails 中保守 Secrets.yml 的秘密？

我对 Rails 还很陌生，但我有一些 PHP 和其他语言编程经验。我真的很喜欢 Rails，并且正在为我的公司开发一个应用程序，但我仍然不完全理解 Secrets.yml 文件如何与 git 和 heroku 配合使用。我知道秘密用于身份验证，但我不明白如何在仍然通过 git 部署到 heroku 的同时保持秘密。

第一个问题是，我真的需要保守我的开发和测试秘密吗？ Rails 自动将生产开发秘密设置为环境秘密（我仍然不完全理解），但是如果人们知道我的开发和测试秘密是什么，那又有什么关系呢？

其次，什么是更好地理解将 Secrets.yml 文件与 git 结合使用的好资源？ Rails 指南似乎没有很好地记录它的使用情况（只有大约一段专门介绍 Secrets.yml），这似乎是一个非常重要的主题，可能会导致应用程序中出现严重的安全缺陷。

最后，其他人如何保护自己的秘密？查看 github 上的几个示例应用程序，我注意到大多数人似乎没有采取任何步骤将机密文件保存在 .gitignore 中。这仅仅是一个疏忽，还是因为它并不像我想象的那么严重？

我很感激我能得到的任何帮助。我已经研究这个特定问题一段时间了，但还没有真正得到任何全面的解决方案。我想向我的公司展示我的项目，并解释使用 git 等版本控制系统的优势，但我也希望该应用程序足够安全，足以相信它可以保证我公司数据的安全。

这是 HEROKU 的（希望很简单）分步指南，应在将文件 (secrets.yml) 推送到 GitHub 或其他主机之前执行。

*我不是这个主题的专家，但这对我来说效果很好，似乎是一个很好的解决方案。它结合了此问题的答案以及此问题的答案中的信息（部署到 Heroku 时使用 Rails Secrets.yml 且无需将密钥暴露给公共存储库的分步说明 https://stackoverflow.com/questions/25006650/step-by-step-explanation-for-using-rails-secrets-yml-without-exposing-keys-to-pu）提供一个简单的指南：）

1）将secrets.yml复制到另一个名为secrets_backup.yml的文件

您现在应该有两个与 Secrets.yml 内容相同的文件

2) Add secrets_backup.yml到你的 .gitignore

3）更改文本secrets.yml到以下

development:
  secret_key_base: <%= ENV["SECRET_KEY_BASE_DEV"] %>
test:
  secret_key_base: <%= ENV["SECRET_KEY_BASE_TEST"] %>
production:
  secret_key_base: <%= ENV["SECRET_KEY_BASE"] %>

4) cd到命令行上的 Rails 项目文件夹

5) 在终端类型中heroku config:set SECRET_KEY_BASE_TEST=<pasted key>, where <pasted key>应从以下位置复制并粘贴test: secret_key_base:<key>这是在secrets_backup.yml

6) 在终端类型中heroku config:set SECRET_KEY_BASE_DEV=<pasted key>, where <pasted key>应从以下位置复制并粘贴development: secret_key_base:<key>这是在secrets_backup.yml

7) My secrets.yml文件已经有 SECRET_KEY_BASE 而不是实际的密钥，所以我怀疑你的也会有。但如果没有，请像上面设置其他两个一样设置 SECRET_KEY_BASE 变量。

8) 将您的存储库推送到 GitHub 和 Heroku

9）微笑，因为你是G.O.A.T，并展示你可爱的网站！