如何在CI/CD流水线中无人值守执行git push ionic master并处理SSH密钥密码

首先明确一点：git push命令本身并不支持直接传入SSH密钥的密码作为参数，不过有几种成熟的方案可以解决这个无人值守场景的问题，下面给你详细拆解：

方法1：用ssh-agent管理解锁的密钥（推荐用于已有带密码密钥的场景） #

ssh-agent是SSH自带的密钥管理工具，可以临时解锁密钥并在当前会话中保持可用，完美适配CI/CD的自动化流程：

• 在CI脚本中先启动ssh-agent：

  eval $(ssh-agent -s)
  

• 将你的带密码密钥添加到ssh-agent中，这里建议把密钥密码存在CI系统的加密环境变量（比如SSH_PASSPHRASE）里，避免明文泄露：

  echo "$SSH_PASSPHRASE" | ssh-add -q /u/.ssh/id_rsa
  

  （-q参数是安静模式，避免输出不必要的信息）
• 之后正常执行git push命令即可，ssh-agent会自动提供解锁后的密钥：

  git push ionic master
  

方法2：创建无密码的SSH密钥（最简单的CI场景方案） #

如果你的CI服务器是受控环境，完全可以生成一个无密码的专用SSH密钥，专门用于Ionic Pro的推送：

• 生成无密码密钥（注意替换路径和名称，避免和现有密钥冲突）：

  ssh-keygen -t rsa -b 4096 -f /u/.ssh/id_rsa_ionic -N ""
  

  （-N ""表示设置空密码）
• 将生成的公钥文件/u/.ssh/id_rsa_ionic.pub中的内容添加到你的Ionic Pro账户的SSH密钥列表中
• 在CI脚本中指定使用这个无密码密钥执行git push：

  GIT_SSH_COMMAND="ssh -i /u/.ssh/id_rsa_ionic" git push ionic master
  

重要安全提醒 #

• 无论是带密码还是无密码的密钥，都要严格限制文件权限：给.ssh目录设置700权限，密钥文件设置600权限，避免其他用户读取
• 带密码密钥的密码一定要存在CI系统的加密环境变量中，不要明文写在脚本里
• 无密码密钥建议只授予访问Ionic Pro目标仓库的权限，不要用它做其他操作

内容的提问来源于stack exchange，提问作者Schwammy