如何在 Heroku 上的 Rails 6 应用程序上设置 RAILS_PRODUCTION_KEY 配置变量

Question

我创建了一个新的 Rails 6 应用程序，由于它支持多环境凭据，我正在尝试使用 RAILS_PRODUCTION_KEY 配置变量并删除默认的 RAILS_MASTER_KEY

heroku config:unset RAILS_MASTER_KEY 
heroku config:set RAILS_PRODUCTION_KEY=`cat config/credentials/production.key`

但这不起作用，在将RAILS_MASTER_KEY 设置为生产密钥后，我能够让它工作

heroku config:unset RAILS_PRODUCTION_KEY
heroku config:set RAILS_MASTER_KEY=`cat config/credentials/production.key`

如何让 Heroku 在 Rails 6 应用程序中识别 RAILS_PRODUCTION_KEY？

Answer 1

我也很难弄清楚这个问题。 （这不是 Heroku 特有的问题。）

底线：一个名为 RAILS_PRODUCTION_KEY 的环境变量（或任何其他 Rails 环境风格的变量名称）不是一个东西——Rails 不会注意它。

从 Rails 6 凭据功能的（弱，IMO）Rails 文档中，我错误地假设生产密钥（在 RAILS_PRODUCTION_KEY 环境变量或 config/credentials/production.key 中）会解密config/credentials/production.yml.enc，主密钥（在 RAILS_MASTER_KEY 环境变量或 config/master.key 中）将解密 config/credentials.yml.enc，并且 config/credentials/production.yml.enc 中给定密钥的值将覆盖config/credentials.yml.enc 中该键的值。情况不是。

实际上是这样工作的：

1. Rails 6 使用 single 密钥来解密 single 加密的机密文件。
2. 解密密钥的默认位置是config/master.key，秘密文件的默认位置是config/credentials.yml.enc。
3. 如果定义了RAILS_MASTER_KEY 的环境变量，Rails 将从环境变量中读取解密密钥，而不是从config/master.key。
4. 在给定的 Rails 环境（production/development/etc.）中运行时，如果在 config/credentials 中存在相应的机密文件（例如，config/credentials/production.yml.enc），那么 Rails 将使用 that secrets 文件only，它会使用相应的解密密钥（例如config/credentials/production.key）only来解密它。
5. 如果定义了RAILS_MASTER_KEY 的环境变量，Rails 将从环境变量中读取解密密钥，而不是从解密密钥文件中读取。注意：无论 Rails 环境如何，覆盖解密密钥文件的环境变量都是 always RAILS_MASTER_KEY。