如何在生产环境使用Rails Credentials？Heroku解密疑问解答

首先明确核心逻辑：Rails Credentials采用对称加密，加密与解密必须使用同一个密钥。针对你的疑问，分两种可行方案说明：

方案一：开发与生产共用同一套加密配置 #

• 保留你本地生成的credentials.yml.enc，将其推送到GitHub（注意：master.key绝对不能提交到版本控制，要确保它在.gitignore里）
• 在Heroku上设置环境变量RAILS_MASTER_KEY，值为你本地master.key文件里的完整内容，执行命令：

  heroku config:set RAILS_MASTER_KEY=你的master.key内容
  

• 部署后，Heroku会自动读取这个环境变量，解密credentials.yml.enc获取配置

方案二：为生产环境单独生成专属Credentials #

如果希望生产环境使用独立的密钥和配置，按以下步骤操作：

1. 在本地生成生产环境专属的加密配置文件：

   EDITOR="code --wait" rails credentials:edit --environment production
   

   执行后会生成config/credentials/production.key（解密密钥）和config/credentials/production.yml.enc（加密后的配置文件）
2. 将production.yml.enc推送到GitHub，production.key必须加入.gitignore，禁止提交
3. 在Heroku上设置环境变量RAILS_MASTER_KEY，值为production.key里的完整内容：

   heroku config:set RAILS_MASTER_KEY=你的production.key内容
   

4. 部署完成后，Rails在生产环境会自动加载production.yml.enc，通过环境变量中的密钥解密获取配置

关键注意事项 #

• 所有*.key类型的文件都要加入.gitignore，避免敏感密钥泄露
• 如果选择方案一，可在credentials.yml.enc中按环境拆分配置，示例：

  development:
    api_key: dev_xxxxxx
  production:
    api_key: prod_xxxxxx
  

  代码中通过Rails.application.credentials.dig(Rails.env, :api_key)读取对应环境的配置

内容的提问来源于stack exchange，提问作者Fernando Maymone