生产环境应为CI/CD或服务器单独生成专用GPG密钥对，公钥提交代码库，私钥加密后存入密钥管理系统；构建时用公钥加密.env等敏感文件，部署时从密钥管理服务获取加密私钥，内存中解密并安全注入应用运行时环境。
在生产环境部署中，用 GPG 加密敏感环境变量文件（如 .env、application.yml 中的密码/API密钥等），配合自动化流程实现安全、无损解密，是 DevOps 实践中的常见需求。关键不是“能不能解密”，而是“谁能在何时、何地、以何种方式可靠解密”——这依赖密钥管理、权限控制和流程设计三者的协同。
生成并安全分发用于部署的 GPG 密钥对
不要复用开发者个人密钥；应为 CI/CD 环境或目标服务器单独创建专用密钥对：
- 在受控环境（如 CI runner 或跳板机）中运行：
gpg --full-generate-key，选择 RSA 3072 或 4096 位，设置永不过期（0），填写明确标识名如deploy-prod@company.com - 导出公钥供加密方使用：
gpg --export -a "deploy-prod@company.com" > deploy-prod.pub - 导出私钥（务必加密保护）：
gpg --export-secret-keys -a "deploy-prod@company.com" | gpg --symmetric --cipher-algo AES256 -o deploy-prod.sec.gpg
该命令会要求你设置一个强密码，用于保护私钥本身 - 将
deploy-prod.pub提交到代码仓库（公开无害）；将deploy-prod.sec.gpg存入密钥管理系统（如 HashiCorp Vault、AWS Secrets Manager）或离线保管，**绝不提交到 Git**
在构建阶段用公钥加密环境变量文件
假设你有 .env.production，其中含 DB_PASSWORD=xxx 等明文敏感项：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 确保公钥已导入构建环境：
gpg --import deploy-prod.pub - 执行加密（生成二进制或 ASCII-armored）：
gpg --encrypt --recipient "deploy-prod@company.com" --output .env.production.gpg .env.production
或生成可读文本格式便于版本控制：gpg --encrypt --armor --recipient "deploy-prod@company.com" --output .env.production.asc .env.production - 将
.env.production.gpg（或.asc）随应用包一同发布；它本身不含密钥，仅依赖接收方持有对应私钥
在目标服务器上安全解密并注入运行时
解密动作必须发生在可信、隔离、最小权限的部署上下文中：
- 部署脚本（如 Ansible playbook / systemd service / shell script）先从密钥管理服务拉取
deploy-prod.sec.gpg，用预设密码解包：gpg --decrypt --passphrase "$VAULT_DECRYPT_PASS" --output /tmp/deploy-prod.sec deploy-prod.sec.gpg - 临时导入私钥（内存中完成，不落盘）：
gpg --batch --yes --import /tmp/deploy-prod.sec - 解密环境变量文件：
gpg --batch --quiet --decrypt --output /app/.env .env.production.gpg--batch --quiet避免交互和日志泄露；输出路径需严格限定 - 立即清理敏感中间产物：
shred -u /tmp/deploy-prod.sec && rm -f .env.production.gpg - 启动应用时通过
env_file: /app/.env（Docker Compose）、source /app/.env（shell）或语言原生机制加载，确保进程环境变量不被外部查看（如ps aux不暴露）
验证与加固要点
避免“看似加密实则裸奔”的陷阱：
- 确认私钥未被误设为
gpg --list-secret-keys中的默认钥匙（检查~/.gnupg/gpg.conf的default-key设置） - 禁止在部署日志中打印解密命令或错误输出（GPG 错误可能泄露密钥指纹或操作痕迹）
- 对解密后的
.env文件设置严格权限：chmod 600 /app/.env && chown appuser:appgroup /app/.env - 定期轮换密钥：重新生成密钥对 → 更新密钥管理服务 → 重新加密所有 env 文件 → 部署新版本 → 安全归档旧私钥（不删除，仅标记为 retired）
