Ruby如何读取GitHub私有仓库文件 含权限传递与安全性疑问

凭证访问实现方式 #

你遇到返回登录页的原因是未携带认证信息，GitHub对私有仓库资源的未授权请求会重定向到登录入口，你可以通过携带GitHub个人访问令牌（PAT）的方式完成认证，具体操作如下：

1. 登录GitHub账号，进入开发者设置页创建PAT，仅为该令牌勾选仓库只读类的最小必要权限，不要勾选其他多余权限。
2. 将生成的PAT存入Rails项目的加密凭据中，禁止硬编码到业务代码或提交到代码仓库。
3. 修改你的请求代码，添加认证头：

# 从Rails加密凭据读取PAT
github_pat = Rails.application.credentials.github[:repo_read_pat]
# 注意此处要使用GitHub文件的raw访问链接，不要使用仓库网页的文件浏览页链接
uri = URI("https://raw.githubusercontent.com/<你的用户名>/<你的仓库名>/<分支名>/config.yml")

http = Net::HTTP.new(uri.host, uri.port)
http.use_ssl = true

request = Net::HTTP::Get.new(uri)
request["Authorization"] = "token #{github_pat}"
request["Accept"] = "application/vnd.github.v3.raw"

response = http.request(request)

if response.success?
  # 用safe_load规避YAML反序列化漏洞，不要直接用YAML.load
  config = YAML.safe_load(response.body)
else
  Rails.logger.error "拉取配置文件失败，状态码：#{response.code}"
  raise "配置加载失败"
end

安全性说明 #

只要按照规范操作，该方案的安全性是可控的，注意事项如下：

• 严格限制PAT的权限范围，仅开放目标仓库的只读权限，不要使用个人账户全权限PAT，条件允许的话优先使用GitHub App颁发的短期动态令牌，比长期PAT安全性更高。
• 禁止将PAT硬编码、写在普通配置文件中提交到代码仓库，必须使用Rails加密凭据、环境变量等加密存储方案存放。
• 不要将PAT拼接在请求URL中，也不要将带认证头的请求日志明文输出，避免凭证泄露。
• 拉取到的YAML内容必须使用YAML.safe_load解析，避免文件被篡改后触发反序列化漏洞执行恶意代码。
• 生产环境建议增加本地缓存策略，不要每次加载配置都请求GitHub接口，既减少性能损耗也降低凭证暴露风险。

内容的提问来源于stack exchange，提问作者Peabrain