基于CircleCI自动部署应用：凭证安全与迁移脚本执行方案问询

完全理解你的顾虑——把个人Passport账号硬编码在Git或CI配置里确实风险很高，下面分两部分给你具体的解决办法：

一、用专用部署账号+CircleCI环境变量替代个人CF登录凭证 #

与其用个人账号，不如创建一个专门用于部署的服务账号，并通过CircleCI的环境变量存储凭证，避免暴露：

1. 创建CF部署账号并分配权限
   用你的个人CF账号登录CLI，执行以下命令创建一个仅具备部署权限的用户：

   # 创建新的部署用户
   cf create-user deploy-myapp <高强度密码>
   # 给该用户分配目标Space的Developer权限（足够完成cf push操作）
   cf set-space-role deploy-myapp <你的组织名> <你的Space名> Developer
   

2. 在CircleCI中配置环境变量
   进入CircleCI项目的「Settings」→「Environment Variables」，添加以下变量：

   • CF_API_URL：https://api.lyra-836.appcloud.swisscom.com
   • CF_USERNAME：deploy-myapp（你刚才创建的用户名）
   • CF_PASSWORD：你设置的高强度密码

3. 修改CircleCI部署脚本
   把原来硬编码的登录命令替换为使用环境变量的版本：

   cf login -a $CF_API_URL -u $CF_USERNAME -p $CF_PASSWORD
   cf push myapp
   

   ✅ 这样凭证只存储在CircleCI的安全环境中，不会出现在Git仓库里。

   额外优化：如果不想用密码，也可以生成永久OAuth令牌（运行cf oauth-token获取），存为CF_TOKEN环境变量，登录命令改为：

   cf login -a $CF_API_URL --access-token $CF_TOKEN
   

   注意：令牌可能会过期，定期更新即可，服务账号密码的方式更稳定。

二、部署后SSH执行迁移脚本的凭证安全处理 #

这里推荐两种方案，优先选第一种更集成、更安全的方式：

方案1：用CF CLI原生cf ssh命令（无需额外SSH凭证） #

Cloud Foundry的cf ssh命令不需要单独的SSH密钥——它会复用你之前CF登录的会话权限，只要部署账号有Space的Developer权限就能直接执行命令：

# 部署完成后，直接通过cf ssh执行迁移脚本
cf ssh myapp -c "cd /app && ./run-migration-script.sh"

✅ 完全不需要管理SSH密钥，所有权限都通过CF的认证体系控制，安全又省心。

方案2：传统SSH登录（需密钥时的安全处理） #

如果必须用传统SSH（比如CF ssh无法满足你的脚本需求），可以这样处理：

1. 生成一对SSH密钥（不要设置密码，避免CI交互）：

   ssh-keygen -t ed25519 -f deploy-ssh-key -N ""
   

2. 将公钥添加到Cloud Foundry实例的SSH authorized_keys中（可以通过应用的manifest.yml配置，或者在构建时注入）。
3. 将私钥deploy-ssh-key的内容复制到CircleCI的环境变量SSH_PRIVATE_KEY中。
4. 在CircleCI脚本中临时写入私钥并执行命令：

   # 临时写入私钥并设置安全权限
   echo "$SSH_PRIVATE_KEY" > /tmp/deploy-ssh-key
   chmod 600 /tmp/deploy-ssh-key
   # SSH登录执行迁移脚本
   ssh -i /tmp/deploy-ssh-key app@<实例IP> "cd /app && ./run-migration-script.sh"
   # 清理临时文件
   rm /tmp/deploy-ssh-key
   

   ✅ 私钥只存储在CircleCI环境变量中，不会暴露在代码里。

关键注意事项 #

• 最小权限原则：给部署账号只分配必要的权限（比如Space Developer），不要给Org Admin等高权限。
• 定期轮换凭证：不管是密码还是令牌，定期轮换能降低泄露风险。
• 避免硬编码：永远不要把任何凭证写在Git仓库或CI配置文件中，全部用环境变量管理。

内容的提问来源于stack exchange，提问作者cw.