在 github 操作中使用 openssl

Question

我想将 github 操作的工件发布到特定的更新存储库，以便我的软件可以使用它来更新自身。为了验证本地更新过程中的更新，我想签署此工件。我现在选择将更新本身和签名存储在单独的文件中。

我的 github 操作将获取压缩的工件，并应使用给定的 RSA4096 私钥对其进行签名，并应使用 SHA512 作为摘要。

我的 github 操作如下所示：

- name: Sign release
  run: |
    echo $PRIVATE_KEY > privatekey.pem
    openssl dgst -sha512 -sign privatekey.pem -out latest.sig latest.zip
    env:
      PRIVATE_KEY: ${{ secrets.PRIVATE_KEY }}

此 github 操作应该从存储库的机密中获取我的私钥，将其放入环境变量中，然后将其放入本地文件中，以便以下 openssl 命令可以使用此私钥对其进行签名。我这样做是为了阻止私钥本身被回显到日志中。

私钥值如下：（这当然不是实际的私钥，而是我仅出于测试目的而创建的私钥，直到此 github 操作正常工作为止。这个私钥只有 1024 位，而不是上面提到的 4096 位。我将以后就不再使用这个私钥了。）

- name: Sign release
  run: |
    echo $PRIVATE_KEY > privatekey.pem
    openssl dgst -sha512 -sign privatekey.pem -out latest.sig latest.zip
    env:
      PRIVATE_KEY: ${{ secrets.PRIVATE_KEY }}

问题是执行这一步时github操作的日志输出如下：

-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----

这意味着回显到 privatekey.pem 的任何内容都不是实际的私钥秘密值，而是其他内容。在后续的测试中我无法获取打印的文件内容。不是使用 necho 或 cat 命令或类似的命令，所以我实际上不知道文件中写入了什么，这使得我无法更深入地进行分析。

这里有人能够推断出一些有用的提示或解决这个问题的方法吗？

Answer 1

您的部分问题可能是缺少引用。当您不在 shell 中引用变量时，它会在空格（空格、制表符和换行符）上分割，因此您传递给的echo是几个不同的参数，这些参数不是用换行符分隔，而是通过空格分隔回声。

您可能想这样写（请注意周围的引号$PRIVATE_KEY：

- name: Sign release
  run: |
    echo "$PRIVATE_KEY" > privatekey.pem
    openssl dgst -sha512 -sign privatekey.pem -out latest.sig latest.zip
    env:
      PRIVATE_KEY: ${{ secrets.PRIVATE_KEY }}

一般来说，在使用变量时最好将所有变量放在双引号中，除非您确定希望 shell 扩展它们。

当然，所有这些仅适用于您使用 POSIX shell 的情况，这意味着您需要使用 Unix 或bashWindows，因为您使用的语法是 POSIX shell 语法。

与大多数 CI 系统一样，GitHub Actions 会尝试清理其输出，以防止泄露意外打印到日志中的机密，这就是您无法打印该值的原因。