是否应将Pulumi栈文件提交至Git？含加密盐的配置文件安全吗？

可以安全提交，原因和注意事项如下：

• 加密盐本身属于非敏感配置，它的作用是提升加密复杂度、抵御彩虹表攻击，并不需要保密。Pulumi栈配置里的盐仅用于加密配置中的敏感值（如密码、API密钥），而敏感值本身已被加密存储，公开盐不会破坏加密安全性。
• Pulumi的设计逻辑允许甚至推荐将栈配置文件（如Pulumi.dev.yaml、Pulumi.test.yaml）提交到版本控制，这类文件包含栈的基础环境参数、加密上下文，团队协作时需要共享这些信息来统一环境配置。

需要留意的细节：

• 确保栈配置中的敏感值是通过pulumi config set --secret命令设置的，这类值会被自动加密，加密后的内容也可安全提交，没有对应的加密密钥（由Pulumi Cloud或本地密钥管理系统托管）无法解密。
• 核心敏感项是加密密钥，而非盐，密钥需要妥善保管，切勿泄露或提交到Git。

内容的提问来源于stack exchange，提问作者Rein