refining/secrets
Public Access
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 61 Wiki Activity

feat: 开源准备与 upgrade URL 构建时配置

Browse Source 
- upgrade: SECRETS_UPGRADE_URL 改为构建时优先（option_env!），CI 自动注入
- upgrade: 支持运行时回退（.env/export），添加 dotenvy 加载 .env
- 泛化示例：IP/实例 ID/域名/密钥名改为示例值（10.0.0.1、example.com 等）
- tasks.json: 文件 secret 测试改用 test-fixtures/example-key.pem
- 文档更新：AGENTS.md、README.md

Made-with: Cursor
This commit is contained in:
voson
2026-03-19 16:08:27 +08:00
parent 56a28e8cf7
commit 66b6417faa
10 changed files with 84 additions and 52 deletions
Download Patch File Download Diff File Expand all files Collapse all files

57
AGENTS.md
View File

@@ -145,9 +145,9 @@ secrets_history (
|------|--------|------|
| `namespace` | 项目/团队隔离 | `refining`, `ricnsmart` |
| `kind` | 记录类型 | `server`, `service`, `key` |
| `name` | 唯一标识名 | `i-uf63f2uookgs5uxmrdyc`, `gitea` |
| `name` | 唯一标识名 | `i-example0abcd1234efgh`, `gitea` |
| `tags` | 多维分类标签 | `["aliyun","hongkong","ricn"]` |
| `metadata` | 明文非敏感信息 | `{"ip":"47.243.154.187","desc":"Grafana","key_ref":"ricn-hk-260127"}` |
| `metadata` | 明文非敏感信息 | `{"ip":"192.0.2.1","desc":"Grafana","key_ref":"my-shared-key"}` |
| `secrets.field_name` | 加密字段名（明文） | `"username"`, `"token"`, `"ssh_key"` |
| `secrets.field_type` | 值类型（明文） | `"string"`, `"number"`, `"boolean"`, `"json"` |
| `secrets.value_len` | 原始值字符数（明文） | `4`（root），`40`（token），`4096`（PEM） |
@@ -159,17 +159,17 @@ secrets_history (
```bash
# 1. 存共享 PEM
secrets add -n refining --kind key --name ricn-hk-260127 \
secrets add -n refining --kind key --name my-shared-key \
--tag aliyun --tag hongkong \
-s content=@./keys/ricn-hk-260127.pem
-s content=@./keys/my-shared-key.pem
# 2. 服务器通过 metadata.key_ref 引用（inject/run 时自动合并 key 的 secrets）
secrets add -n refining --kind server --name i-j6c39dmtkr26vztii0ox \
-m ip=47.243.154.187 -m key_ref=ricn-hk-260127 \
secrets add -n refining --kind server --name i-example0xyz789 \
-m ip=192.0.2.1 -m key_ref=my-shared-key \
-s username=ecs-user
# 3. 轮换只需更新 key 记录，所有引用服务器自动生效
secrets update -n refining --kind key --name ricn-hk-260127 \
secrets update -n refining --kind key --name my-shared-key \
-s content=@./keys/new-key.pem
```
@@ -231,7 +231,7 @@ secrets init
# 参数说明（带典型值）
# -n / --namespace refining | ricnsmart
# --kind server | service
# --name gitea | i-uf63f2uookgs5uxmrdyc | mqtt
# --name gitea | i-example0abcd1234efgh | mqtt
# --tag aliyun | hongkong | production
# -q / --query mqtt | grafana | gitea （模糊匹配 name/namespace/kind/tags/metadata）
# secrets schema search 默认展示 secrets 字段名、类型与长度（无需 master_key）
@@ -249,7 +249,7 @@ secrets search --sort updated --limit 10 --summary
# 精确定位单条记录
secrets search -n refining --kind service --name gitea
secrets search -n refining --kind server --name i-uf63f2uookgs5uxmrdyc
secrets search -n refining --kind server --name i-example0abcd1234efgh
# 精确定位并获取完整内容（secrets 保持加密占位）
secrets search -n refining --kind service --name gitea -o json
@@ -266,7 +266,7 @@ secrets run -n refining --kind service --name gitea -- printenv
# 模糊关键词搜索
secrets search -q mqtt
secrets search -q grafana
secrets search -q 47.117
secrets search -q 192.0.2
# 按条件过滤
secrets search -n refining --kind service
@@ -290,31 +290,31 @@ secrets search -n refining --kind service | jq '.[].name'
# 参数说明（带典型值）
# -n / --namespace refining | ricnsmart
# --kind server | service
# --name gitea | i-uf63f2uookgs5uxmrdyc
# --name gitea | i-example0abcd1234efgh
# --tag aliyun | hongkong（可重复）
# -m / --meta ip=47.117.131.22 | desc="Aliyun ECS" | url=https://... | tls:cert@./cert.pem（可重复）
# -m / --meta ip=10.0.0.1 | desc="ECS" | url=https://... | tls:cert@./cert.pem（可重复）
# -s / --secret token=<value> | ssh_key=@./key.pem | password=secret123 | credentials:content@./key.pem（可重复）
# 添加服务器
secrets add -n refining --kind server --name i-uf63f2uookgs5uxmrdyc \
secrets add -n refining --kind server --name i-example0abcd1234efgh \
--tag aliyun --tag shanghai \
-m ip=47.117.131.22 -m desc="Aliyun Shanghai ECS" \
-s username=root -s ssh_key=@./keys/voson_shanghai_e.pem
-m ip=10.0.0.1 -m desc="Aliyun Shanghai ECS" \
-s username=root -s ssh_key=@./keys/deploy-key.pem
# 添加服务凭据
secrets add -n refining --kind service --name gitea \
--tag gitea \
-m url=https://gitea.refining.dev -m default_org=refining -m username=voson \
-m url=https://code.example.com -m default_org=refining -m username=voson \
-s token=<token> -s runner_token=<runner_token>
# 从文件读取 token
secrets add -n ricnsmart --kind service --name mqtt \
-m host=mqtt.ricnsmart.com -m port=1883 \
-m host=mqtt.example.com -m port=1883 \
-s password=@./mqtt_password.txt
# 多行文件直接写入嵌套 secret 字段
secrets add -n refining --kind server --name i-uf63f2uookgs5uxmrdyc \
-s credentials:content@./keys/voson_shanghai_e.pem
secrets add -n refining --kind server --name i-example0abcd1234efgh \
-s credentials:content@./keys/deploy-key.pem
# 使用类型化值（key:=<json>）存储非字符串类型
secrets add -n refining --kind service --name prometheus \
@@ -334,7 +334,7 @@ secrets add -n refining --kind service --name prometheus \
# 参数说明（带典型值）
# -n / --namespace refining | ricnsmart
# --kind server | service
# --name gitea | i-uf63f2uookgs5uxmrdyc
# --name gitea | i-example0abcd1234efgh
# --add-tag production | backup（不影响已有 tag，可重复）
# --remove-tag staging | deprecated（可重复）
# -m / --meta ip=10.0.0.1 | desc="新描述" | credentials:username=root（新增或覆盖，可重复）
@@ -343,7 +343,7 @@ secrets add -n refining --kind service --name prometheus \
# --remove-secret old_password | deprecated_key | credentials:content（删除 secret 字段，可重复）
# 更新单个 metadata 字段
secrets update -n refining --kind server --name i-uf63f2uookgs5uxmrdyc \
secrets update -n refining --kind server --name i-example0abcd1234efgh \
-m ip=10.0.0.1
# 轮换 token
@@ -360,11 +360,11 @@ secrets update -n refining --kind service --name mqtt \
--remove-meta old_port --remove-secret old_password
# 从文件更新嵌套 secret 字段
secrets update -n refining --kind server --name i-uf63f2uookgs5uxmrdyc \
-s credentials:content@./keys/voson_shanghai_e.pem
secrets update -n refining --kind server --name i-example0abcd1234efgh \
-s credentials:content@./keys/deploy-key.pem
# 删除嵌套字段
secrets update -n refining --kind server --name i-uf63f2uookgs5uxmrdyc \
secrets update -n refining --kind server --name i-example0abcd1234efgh \
--remove-secret credentials:content
# 移除 tag
@@ -379,7 +379,7 @@ secrets update -n refining --kind service --name gitea --remove-tag staging
# 参数说明（带典型值）
# -n / --namespace refining | ricnsmart
# --kind server | service
# --name gitea | i-uf63f2uookgs5uxmrdyc（必须精确匹配）
# --name gitea | i-example0abcd1234efgh（必须精确匹配）
# 删除服务凭据
secrets delete -n refining --kind service --name legacy-mqtt
@@ -484,7 +484,9 @@ secrets run -n refining --kind service --name gitea -- printenv
### upgrade — 自动更新 CLI 二进制
从 Gitea Release 下载最新版本，校验对应 `.sha256` 摘要后替换当前二进制，无需数据库连接或主密钥。
从 Release 服务器下载最新版本，校验对应 `.sha256` 摘要后替换当前二进制，无需数据库连接或主密钥。
**配置方式**：`SECRETS_UPGRADE_URL` 必填。优先用**构建时**：`SECRETS_UPGRADE_URL=https://... cargo build`，CI 已自动注入。或**运行时**：写在 `.env` 或 `export` 后执行。
```bash
# 检查是否有新版本（不下载）
@@ -504,7 +506,7 @@ secrets upgrade
# 参数说明
# -n / --namespace refining | ricnsmart
# --kind server | service
# --name gitea | i-uf63f2uookgs5uxmrdyc
# --name gitea | i-example0abcd1234efgh
# --tag aliyun | production（可重复）
# -q / --query 模糊关键词
# --file <path> 输出文件路径，格式由扩展名推断（.json / .toml / .yaml / .yml）
@@ -664,5 +666,6 @@ cargo fmt -- --check && cargo clippy -- -D warnings && cargo test
|------|------|
| `RUST_LOG` | 日志级别，如 `secrets=debug`、`secrets=trace`（默认 warn） |
| `USER` | 审计日志 actor 字段来源，Shell 自动设置，通常无需手动配置 |
| `SECRETS_UPGRADE_URL` | upgrade 的 Release API 地址。构建时（cargo build）或运行时（.env/export） |
数据库连接通过 `secrets config set-db` 持久化到 `~/.config/secrets/config.toml`，不支持环境变量。