bjgeiser/keybase-cli

keybase-cli

Keybase Docker容器，暴露Keybase CLI及常用命令，如获取文件、克隆仓库、加载GitHub Action密钥等，便于在自动化流程中安全管理Keybase资源。

GitHub: https://github.com/bjgeiser/keybase-cli
Docker Hub: https://hub.docker.com/r/bjgeiser/keybase-cli

GitHub Action

该Docker镜像的主要用途是配合此GitHub Action使用：
https://github.com/bjgeiser/keybase-action

使用方法

示例Docker命令

shell
docker run --rm \
   -v $PWD:$PWD -w $PWD \
   -e KEYBASE_USERNAME="$KEYBASE_USER" \
   -e KEYBASE_PAPERKEY="$KEYBASE_PAPERKEY" \
   -e KEYBASE_UID=$UID -e KEYBASE_GID=$GID \
   bjgeiser/keybase-cli keybase --version

环境变量

关于文件权限

默认情况下，Keybase复制的文件权限为-rw-------，且Keybase可执行文件不以root身份运行。若未设置KEYBASE_UID和KEYBASE_GID，复制出的文件所有者将为1000:1000。为使文件可读，调用用户可通过环境变量传入当前用户和用户组ID，容器会动态创建具有相同UID:GID的用户，确保容器退出后文件可读。使用--user UID:GID无法动态创建带主目录的用户（Keybase必需），容器会检测并报错。

命令

注意：{参数}为可选。

命令：github-action-secrets

shell
docker run --rm \
   -v $PWD:$PWD -w $PWD \
   -e KEYBASE_USERNAME="$KEYBASE_USER" \
   -e KEYBASE_PAPERKEY="$KEYBASE_PAPERKEY" \
   -e KEYBASE_UID=$UID -e KEYBASE_GID=$GID \
   bjgeiser/keybase-cli github-action-secrets keybase://path/to/file

该命令将解析.yaml、.json或.env文件，并在GitHub Action中设置密钥。文件中的每个条目将使容器输出：
::set-output name={name}::{value} https://docs.github.com/en/actions/using-workflows/workflow-commands-for-github-actions#setting-an-output-parameter
::add-mask::{value} https://docs.github.com/en/actions/using-workflows/workflow-commands-for-github-actions#masking-a-value-in-log

注意：通过此方法加载的密钥将在工作流日志中以*****隐藏。详见：https://docs.github.com/en/actions/security-guides/security-hardening-for-github-actions%E4%BA%86%E8%A7%A3Action%E5%AE%89%E5%85%A8%E7%9B%B8%E5%85%B3%E4%BF%A1%E6%81%AF%E3%80%82

示例

action-secrets.yaml

yaml
secret_1: this is secret 1
secret_2: this is secret 2

action-secrets.json

json
{
  "secret_1": "this is secret 1",
  "secret_2": "this is secret 2"
}

action-secrets.env

shell
secret_1="this is secret 1"
secret_2="this is secret 2"
secret_3=this_is_secret_3

在https://docs.github.com/en/actions/using-workflows/workflow-syntax-for-github-actions%E4%B8%AD%E4%BD%BF%E7%94%A8

yaml
jobs:
  example:
    runs-on: ubuntu-latest
    steps:
      - name: 获取密钥
        id: keybase_secrets
        shell: bash
        run: |
          run --rm \
           -v $PWD:$PWD -w $PWD \
           -e KEYBASE_USERNAME="${{secrets.KEYBASE_USERNAME}}" \
           -e KEYBASE_PAPERKEY="${{secrets.KEYBASE_PAPERKEY}}" \
           -e KEYBASE_UID=$UID -e KEYBASE_GID=$GID \
            bjgeiser/keybase-cli github-action-secrets keybase://path/to/file 
      
      - name: 检查密钥是否加载并隐藏
        ### 此处日志中密钥应以`*****`显示
        run: echo "${{steps.secrets.outputs.secret_1}}"

命令：get

将文件复制到本地文件系统。 CODE_TOKEN_6 CODE_TOKEN_7

命令：read

将文件内容输出到标准输出。 CODE_TOKEN_8

命令：clone

克隆Git仓库。 CODE_TOKEN_9 CODE_TOKEN_10

命令：keybase

执行Keybase CLI命令。 CODE_TOKEN_11

注意：任何不匹配上述命令的输入将作为原始命令尝试执行。例如ls -la .或keybase --version均可运行。

命令：raw

从容器内执行原始命令。 CODE_TOKEN_12

注意：任何不匹配上述命令的输入将作为原始命令尝试执行。例如ls -la .或keybase --version均可运行。

命令：batch

执行以,或;分隔的一系列命令。 CODE_TOKEN_13

命令：file

执行命令文件中包含的一系列命令。 CODE_TOKEN_14 command_file.yaml

yaml
commands:
  - get keybase://path/to/file
  - get keybase://path/to/file2
  - get keybase://path/to/file3
  - clone keybase://path/to/clone
  - github-action-secrets keybase://path/to/file
  # 修改上述下载的文件权限
  - chmod a+rw file3