如何在TeamCity中存储含生产密码的配置文件用于构建部署

TeamCity完全支持安全存储包含生产环境密码的完整应用配置文件，可以实现生产密钥不落入代码仓库、部署流程自动拉取替换的需求，根据配置文件的体积和维护习惯，可以选以下两种落地方案：

TeamCity的Password类型参数是专门为存储敏感内容设计的，存储时全程加密，不会在UI、构建日志中明文展示，无权限的用户完全看不到真实值。
操作步骤：

• 进入目标项目/生产部署构建配置的Parameters设置页，新增参数
• 参数类型选择Password，自定义参数名（比如命名为prod.app.config.content），将完整的生产环境app.config文件的全部内容粘贴为参数值后保存
• 在部署流程的构建步骤中，加一行简单的脚本将参数值写入目标路径，替换代码仓库拉下来的开发环境配置即可：
  • Windows PowerShell环境执行：

    Set-Content -Path "%teamcity.build.checkoutDir%\app.config" -Value "%prod.app.config.content%"
    

  • Linux Shell环境执行：

    cat > "%teamcity.build.checkoutDir%/app.config" <<EOF
    %prod.app.config.content%
    EOF
    

• 可以给这个参数单独配置访问权限，仅开放给生产部署的服务账号、项目管理员，普通开发角色访问参数页时只能看到掩码，无法获取真实内容。

如果你的配置文件包含大段XML内容、改动频率比较高，粘贴到参数里维护不方便，可以用TeamCity的工件权限控制能力存储文件：

• 新建一个独立的、仅项目管理员有访问权限的构建配置，将生产环境app.config作为该构建的加密上传工件存储
• 在生产部署的构建配置中添加对上述受限构建的工件依赖，配置仅拉取app.config这一个文件，拉取路径直接设置为部署时需要读取配置的目标目录
• 部署流程运行时会自动拉取有权限限制的配置文件，直接覆盖仓库中的开发版配置即可，整个过程不需要把敏感内容暴露给无权限用户，也不需要手动粘贴大段文本。

• 绝对不要用普通文本类型参数存储生产敏感配置，这类参数会明文展示在参数列表、构建日志中，存在严重泄露风险
• 所有存储生产配置的位置都遵循最小权限原则，仅给必要的账号开放读取、编辑权限
• 可以在构建配置的「日志掩码」规则中添加配置里的敏感关键词规则，就算构建过程中意外打印了配置内容，日志里也会自动替换为掩码，避免泄露。

内容的提问来源于stack exchange，提问作者Ilya