Passare una credenziale CLI senza stamparla

Le chiavi API dosya iniziano con dos_. Evita argomenti contenenti segreti letterali perché l’elenco dei processi e la cronologia della shell possono esporli; la CLI avvisa se passi una chiave direttamente sulla riga di comando.

Prima di iniziare

• Recupera la chiave da un gestore di segreti approvato al momento dell’esecuzione.
• Usa un XDG_CONFIG_HOME privato quando la salvi; la directory e il file di configurazione devono mantenere le modalità 0700 e 0600.
• config get oscura la chiave. Non creare flussi che tentino di rileggerla.

Procedura

1. Carica il segreto in una variabile d’ambiente temporanea senza stamparlo. Disattiva il tracciamento dei comandi durante il recupero e l’esecuzione della CLI.
2. Per un solo comando, rendi DOSYA_API_KEY disponibile solo a quel processo. Per salvare l’autenticazione, passa il segreto tramite pipe al comando supportato che legge la chiave da stdin, usando --key -.
3. Esegui dosya whoami --json e verifica che l’identità sia quella prevista. Acquisisci stdout e stderr senza stampare l’ambiente.
4. Rimuovi subito la variabile della shell dopo il processo. Assicurati che i registri dei processi, i rapporti sugli arresti e i wrapper di debug non producano un dump dell’ambiente.
5. Usa l’uscita locale quando devi rimuovere solo la credenziale salvata sulla macchina. Usa logout --revoke quando devi invalidare anche la chiave sul server.
6. Controlla il risultato della revoca: se la revoca sul server non riesce, la chiave locale viene conservata per riprovare; un 401 invece cancella una credenziale locale già inutilizzabile. Verifica che l’output della configurazione resti oscurato.

Risultato previsto

La CLI si autentica senza inserire la chiave in argv o nei registri, il file salvato resta privato e l’uscita corrisponde alla scelta tra rimozione solo locale e revoca sul server.

Risoluzione dei problemi

La CLI segnala una chiave letterale. Sostituisci la credenziale esposta e passa a stdin o a una variabile d’ambiente segreta.

La revoca non riesce per un errore di rete. La chiave locale viene conservata per riprovare l’azione sul server; proteggi il file di configurazione fino ad allora.

Un log CI contiene l’ambiente. Rimuovi i passaggi che lo stampano e sostituisci la chiave. L’oscuramento di config get non protegge dai log di altri strumenti.

Guide correlate

• Autenticare la CLI dosya
• Usare l’output JSON della CLI