Xcode Cloud中如何解密文件？能否安装GPG或采用替代方案？

一、在Xcode Cloud中安装GPG是可行的 #

Xcode Cloud的运行环境基于macOS，支持通过Homebrew安装GPG。你可以在构建前的脚本中添加安装步骤：

# 可选：静默更新brew索引（遇到安装失败时可尝试）
brew update --quiet
# 静默安装gnupg
brew install --quiet gnupg
# 执行解密命令（需提前将GPG_PASSPHRASE添加到Xcode Cloud的Secrets中）
gpg --batch --passphrase "$GPG_PASSPHRASE" --decrypt config.json.gpg > config.json

注意将解密所需的GPG_PASSPHRASE作为密钥添加到Xcode Cloud工作流的Secrets配置中，避免明文暴露。

二、无需额外安装的替代方案 #

1. 拆分配置到Xcode Cloud Secrets（推荐） #

不需要加密整个JSON文件，而是将敏感字段单独提取为Xcode Cloud的Secrets，再通过脚本动态生成配置文件。
比如原配置文件config.json：

{
  "api_key": "敏感密钥",
  "base_url": "https://example.com/api"
}

在Xcode Cloud中添加API_KEY作为Secret，然后在构建脚本中生成配置：

# 动态生成config.json
cat > config.json << EOF
{
  "api_key": "$API_KEY",
  "base_url": "https://example.com/api"
}
EOF

这种方式完全利用Xcode Cloud原生的密钥管理，安全且无额外依赖。

2. 使用系统预装的OpenSSL加密解密 #

macOS默认自带OpenSSL，无需额外安装即可完成加密解密：

• 本地加密（提前执行，将加密后的文件提交至仓库）：

openssl aes-256-cbc -in config.json -out config.json.enc -k "你的加密密钥"

• Xcode Cloud中解密（将加密密钥作为ENCRYPT_KEY添加到Secrets）：

openssl aes-256-cbc -d -in config.json.enc -out config.json -k "$ENCRYPT_KEY"

三、最佳实践建议 #

• 优先选择拆分配置到Secrets：这是CI/CD场景下最规范的敏感信息管理方式，避免了加密密钥的额外维护，也降低了整文件泄露的风险。
• 加密整文件优先用OpenSSL：无需额外安装工具，减少构建步骤和环境依赖问题，比安装GPG更高效稳定。
• 尽量减少CI中的工具安装：额外的安装步骤会增加构建时间，还可能因网络、源的问题导致构建失败，能靠系统原生工具或平台内置功能解决的就不用额外安装。

内容的提问来源于stack exchange，提问作者Michael Vescovo