关于在travis-ci上运行脚本的安全问题

Question

我见过一些建议下载脚本的工具，作为在travis-ci或其他平台上持续集成的一部分。我担心我下载的脚本可能会受到攻击并可能从我的持续集成服务器中提取一些加密的环境变量。我能做些什么来保护自己免受这种伤害？有没有办法在Travis中运行只包含某些环境变量而不是其他环境变量的脚本？

例如，来自codecov.io的here is an example，他们建议您执行以下操作：

after_success:
  - bash <(curl -s https://codecov.io/bash)

另一个例子是Browserstack，其中they recommend logging in via http：

driver = Selenium::WebDriver.for(:remote,
  :url => "http://USERNAME:ACCESS_KEY@hub-cloud.browserstack.com/wd/hub",
  :desired_capabilities => caps)

Answer 1

我认为至少有两种选择：

• 在完全新鲜的环境env -i bash the_script.bash
中运行可疑脚本
• 如果限制太多（例如脚本需要TRAVIS_COMMIT），您可以在运行脚本之前选择unset VARIABLE_NAME。