Java SFTP应用：能否将非生产环境私钥存入GitHub？

结论 #

绝对不允许将非生产环境私钥存入GitHub——哪怕是低环境密钥，也存在不可忽视的安全风险，完全不值得为了简化初始化配置而妥协。

风险说明 #

• 权限滥用风险：非生产私钥虽权限有限，但仍可访问测试环境SFTP服务器，可能导致测试数据泄露、测试环境配置被篡改，甚至被用作内部网络渗透的跳板。
• 意外泄露风险：私有仓库也可能因误操作（如设为公开）、权限配置失误或仓库被fork后留存密钥，导致凭证外流。
• 合规性问题：多数企业安全规范明确禁止任何密钥、凭证进入代码仓库，哪怕是非生产环境，违反规则会破坏团队统一的安全管控标准。

简化新开发者配置的替代方案 #

1. 提供本地密钥生成与配置脚本 #

编写Shell或Java脚本，自动生成符合测试环境要求的私钥对，同时将对应公钥预先配置到测试SFTP服务器。新开发者只需运行脚本，即可自动完成密钥生成和application.yaml的路径配置。

2. 标准化本地配置路径+内部凭证分发 #

• 在项目默认配置中，将SFTP_PRIVATE_KEY指向用户本地通用路径（如~/.ssh/sftp_test_key），并在README中明确说明：要么通过内部共享渠道获取测试密钥后放入该路径，要么自行生成密钥并联系运维添加公钥到测试服务器。
• 团队内部可借助企业配置中心（如Nacos、Spring Cloud Config）统一管理非生产密钥，开发者只需配置配置中心的访问凭证，即可自动拉取密钥，无需手动处理文件。

3. 用模拟服务替代真实SFTP做单元测试 #

将单元测试依赖的SFTP服务替换为嵌入式模拟服务（如Apache Mina SSHD的嵌入式SFTP服务器），无需真实私钥即可完成测试验证。示例代码如下：

// 嵌入式SFTP服务器初始化示例
SshServer sshd = SshServer.setUpDefaultServer();
sshd.setPort(2222);
sshd.setKeyPairProvider(new SimpleGeneratorHostKeyProvider(new File("hostkey.ser")));
// 配置测试用户的内存认证
sshd.setPasswordAuthenticator((username, password, session) -> 
    "test_user".equals(username) && "test_pass".equals(password));
sshd.start();

// 单元测试中连接本地模拟SFTP
jSch.addIdentity("mock_key", "mock_passphrase");
channelSftp.connect("localhost", 2222);

原业务代码示例 #

byteArrayInputStreamJSON = new ByteArrayInputStream(bytesJSON);         
jSch.addIdentity(filePrivateKey.getAbsolutePath(), sftpPrivateKeyPassphrase);
channelSftp.put(byteArrayInputStreamJSON, filename);

内容的提问来源于stack exchange，提问作者gene b.