近日,研究人员 Felix Lange 爆出 Travis CI 存在严重安全漏洞,所有公共开源存储库的安全环境变量(签名秘钥、访问凭据和所有公共开源项目的 API tokens 等)都包含到 pull request 构建中,如果这些环境变量被窃取,那么这一漏洞将导致数千个开源项目的核心被泄露。 |
Travis CI 是一个开源的持续集成构建项目,别具一格地采用了 yaml 格式,累计为超过 90 万个开源项目和 60 万用户提供服务。因为它能与 GitHub 和 Bitbucket 无缝集成,所以目前大多数的 GitHub 项目都已移入到 Travis CI 的构建队列中。
如下图所言,当用户在运行构建时,Travis CI 会将 GitHub 存储库克隆到一个全新的虚拟环境中,并执行一系列的任务来构建和测试代码。如果其中一个或多个任务失败,则意味着构建中断,如果任务全部成功,则意味着构建通过,Travis CI 可以将用户的代码部署到 web 服务器或应用程序主机上。