我应该将密钥库文件添加到版本控制中吗？

Question

有什么理由不在版本控制中存储密钥库文件？这样做是否存在安全风险？

Answer 1

您不应将密钥库文件存储在版本控制存储库中，因为这样做存在巨大的安全风险。问题不在于风险有多大，而在于它只是不必要的风险，特别是当最佳实践指示您不应在源代码/存储库中包含安全凭证时（将代码和应用程​​序逻辑分开）来自数据）。

现在就严重性而言，撇开最佳实践不谈，这是一个巨大的安全风险。已经开发了几个第三方工具来从现有密钥库中提取私钥（两个著名的例子是jksExportKey和KeyStore Explorer，但请注意还存在其他几个工具）。