如何在项目中为开发者隐藏artifactory_password并实现全局配置

一、全局定义凭证，避免项目代码暴露敏感信息 #

• 用用户级Gradle配置文件：直接把artifactory_user和artifactory_password写在用户目录的~/.gradle/gradle.properties里——这个文件是全局的，只存在于开发者自己的机器上，不会提交到项目代码库。项目里只保留artifactory_url，或者直接把URL写在构建脚本里就行，不用在项目的gradle.properties里碰敏感信息。
• 用环境变量：在自己机器的系统环境变量里设置ARTIFACTORY_USER和ARTIFACTORY_PASSWORD，然后在Gradle构建脚本里读取这些变量：

  repositories {
      maven {
          url System.getenv("ARTIFACTORY_URL")
          credentials {
              username = System.getenv("ARTIFACTORY_USER")
              password = System.getenv("ARTIFACTORY_PASSWORD")
          }
      }
  }
  

  这样项目代码里完全看不到密码，开发者只需要在自己机器上配置好环境变量就行。
• 用Gradle属性引用：如果已经在~/.gradle/gradle.properties里配了账号密码，直接在构建脚本里引用这些属性：

  repositories {
      maven {
          url project.findProperty("artifactory_url")
          credentials {
              username = project.findProperty("artifactory_user")
              password = project.findProperty("artifactory_password")
          }
      }
  }
  

二、项目端的防护措施 #

• 把项目根目录gradle.properties里的artifactory_user和artifactory_password注释掉或者删掉，只留非敏感内容。
• 确保.gitignore里加了gradle.properties，防止有人不小心把带密码的配置文件提交到版本库。

三、额外安全提示 #

• 给每个开发者开独立的Artifactory账号，别共享密码，既能追踪操作，安全性也更高。
• 如果是CI/CD环境，直接用平台的保密变量功能注入凭证，不用在服务器上写死配置。

内容的提问来源于stack exchange，提问作者user352290