Rails 5.2启用加密凭据功能后GCP部署失败

你遇到的ActiveSupport::MessageEncryptor::InvalidMessage错误，本质是部署环境无法正确解密Rails 5.2新增的加密凭据文件。这个问题几乎都是主密钥缺失或不匹配导致的，下面是一步步的排查和解决方法：

核心原因回顾 #

Rails 5.2的加密凭据系统依赖两个关键文件：

• config/credentials.yml.enc：加密后的凭据内容（这个文件应该正常提交到Git）
• config/master.key：解密用的主密钥绝对不能提交到Git，必须通过环境变量传递给部署环境

当部署环境没有这个密钥，或者密钥和credentials.yml.enc不匹配时，就会抛出解密失败的错误。

具体解决步骤 #

1. 确认本地密钥未被提交到版本控制 #

先检查你的.gitignore文件，确保它包含config/master.key——如果不小心提交了，立刻从Git中移除并生成新密钥（避免敏感信息泄露）。

2. 在部署环境中设置RAILS_MASTER_KEY环境变量 #

这是解决问题的核心，需要在本地gcloud工具和CircleCI中分别配置：

对于本地gcloud部署

部署时可以通过命令行直接传递密钥：

gcloud app deploy --set-env-vars RAILS_MASTER_KEY=your_local_master_key_content

更安全的方式是用GCP Secret Manager管理密钥：

• 在GCP控制台创建一个Secret，将你的master.key内容存入其中
• 在app.yaml中引用这个Secret：

  env_variables:
    RAILS_MASTER_KEY: 'projects/your-project-id/secrets/rails-master-key/versions/latest'
  

  记得给App Engine服务账号添加访问Secret Manager的权限。

对于CircleCI

• 进入CircleCI项目的「Settings」→「Environment Variables」
• 添加名为RAILS_MASTER_KEY的变量，值为你本地config/master.key文件的完整内容
• 勾选「Mask value」选项，防止密钥在构建日志中泄露

3. 确认credentials.yml.enc已同步到Git #

确保你本地修改后的config/credentials.yml.enc已经提交并推送到远程仓库——部署环境需要这个加密文件和密钥配对才能完成解密。

4. 检查环境特定凭据（如果使用） #

如果你为生产环境单独创建了config/credentials/production.yml.enc，那么需要设置RAILS_PRODUCTION_KEY环境变量，而非默认的RAILS_MASTER_KEY。不过大多数场景下用默认主密钥即可满足需求。

5. 本地模拟部署环境测试 #

在本地终端设置环境变量后，尝试启动生产环境控制台，验证解密是否正常：

RAILS_MASTER_KEY=your_master_key_content rails c -e production

如果能正常加载控制台，说明密钥和凭据文件匹配，问题大概率出在部署环境的配置上。

额外安全提示 #

• 永远不要把master.key明文写在配置文件（比如app.yaml）里提交到Git，这会造成严重的安全漏洞。
• 定期轮换主密钥：如果怀疑密钥泄露，执行rails credentials:rotate生成新密钥，同时重新加密凭据，并更新所有部署环境的密钥配置。

内容的提问来源于stack exchange，提问作者Paul Andrei Badarau