Google Cloud Build触发器替换变量是否会被公开暴露？

• 首先明确：只要你用的是Cloud Build的加密机密变量（而非普通明文替换变量），且严格管控项目权限，被外部人员公开获取的风险几乎为零。
• Cloud Build的机密变量默认是加密存储的，只有拥有项目对应权限的内部人员才能访问。外部人员没有权限查看或导出这些变量。
• 构建过程中，变量会被安全注入环境，不会出现在构建日志里（除非你主动在脚本里打印，但你已经排除了代码泄露的情况，所以不用考虑这个）。Google不会主动把这些敏感信息暴露到公开渠道。
• 唯一可能的风险来自内部权限滥用：比如你给了无关人员过高的Cloud Build权限（比如编辑者权限），他们可能能查看变量值。但只要遵循最小权限原则，只给需要的人必要权限，这个风险就能完全规避。
• 总结：排除自身代码泄露的前提下，用Cloud Build的机密变量存Firebase私钥是安全可靠的做法，不用担心被公开获取。

内容的提问来源于stack exchange，提问作者Don't Mind Me