开发工具CLI配置管理【免费下载链接】chezmoiManage your dotfiles across multiple diverse machines, securely.项目地址https://gitcode.com/gh_mirrors/ch/chezmoi点击查看免费下载ejsonDecrypt是 chezmoi 内置的模板函数用于在渲染点文件模板时读取并解密 ejson 格式的加密文件将解密后的结构化数据直接注入模板变量。本文以官方参考文档ejsonDecrypt为核心结合仓库源码与测试用例讲解其函数签名、密钥配置方式、缓存机制、底层调用链与实战用法帮助你安全地在多台机器上管理包含密码、Token 等敏感信息的点文件。一、功能概览ejsonDecrypt是什么ejson 是 Shopify 开源的加密工具其核心思路是用非对称加密保护敏感数据公钥直接写在加密文件中_public_key字段私钥存放在受保护的文件系统目录默认/opt/ejson/keys从而允许敏感数据安全地提交到 Git 仓库。chezmoi 内置了对 ejson 的完整支持相关模板函数以ejson*前缀命名见 ejson 函数索引。ejsonDecrypt的官方定义非常简洁ejsonDecryptfilePath—— 返回一个 ejson 加密文件的解密后内容。filePath指明加密文件所在位置。解密结果会被缓存因此使用相同的filePath多次调用ejsonDecrypt时解密过程只执行一次且该缓存与ejsonDecryptWithKey共享。也就是说它是一个接受文件路径参数的模板函数返回值为解密后的数据以 Goany类型承载可像访问字典一样取值。在 ejson 用户指南 中给出的典型场景如下假设你的加密文件my-secrets.ejson中包含password字段那么在任意 chezmoi 模板如~/.local/share/chezmoi/.chezmoitemplates下的模板文件或带.tmpl后缀的目标文件中都可以这样使用examplePassword {{ (ejsonDecrypt my-secrets.ejson).password }}渲染后该行会被替换为解密出的真实密码值。二、函数签名与返回值ejsonDecrypt的函数签名从 internal/cmd/ejsontemplatefuncs.go 的实现可以确认为func (c *Config) ejsonDecryptTemplateFunc(filePath string) any对应模板语法为{{ (ejsonDecrypt my-secrets.ejson) }}参数说明参数类型含义filePathstringejson 加密文件的路径。该路径相对于 chezmoi 当前工作目录或模板渲染上下文中的相对路径解析官方示例中使用的是相对路径如my-secrets.ejson返回值为解密后的完整数据any典型用法是紧跟取值表达式如(ejsonDecrypt my-secrets.ejson).password。由于 ejson 文件本身是 JSON 格式解密后内容会被解析为嵌套的 map/slice 结构因此可以链式取值例如{{ (ejsonDecrypt my-secrets.ejson).db.password }}关联函数ejsonDecryptWithKeyejsonDecrypt存在一个姊妹函数 ejsonDecryptWithKey签名多出一个key参数允许在模板中直接指定私钥内容来解密而无需依赖文件系统中的密钥目录{{ (ejsonDecryptWithKey my-secrets.ejson top-secret-key).password }}官方文档明确指出这两个函数的解密结果共享同一个缓存即以相同filePath调用任意一个函数解密过程都只会执行一次详见下文「缓存机制」。三、密钥从哪里来keyDir与key配置ejsonDecrypt在解密时需要私钥chezmoi 通过配置段ejson来提供密钥信息。在 ejson 配置变量文档 中定义了两个配置项配置项类型默认值说明ejson.keyDirstring/opt/ejson/keys存放私钥的目录路径。设置$EJSON_KEYDIR环境变量也会设置该值但优先级更低ejson.keystring无解密时使用的私钥内容若设置则会取代keyDir在 internal/cmd/config.go 中可以看到默认值的初始化逻辑Ejson: ejsonConfig{ KeyDir: cmp.Or(os.Getenv(EJSON_KEYDIR), /opt/ejson/keys), },即chezmoi 启动时先检查环境变量EJSON_KEYDIR若未设置则回退到默认目录/opt/ejson/keys。对应的配置写法chezmoi.yaml为ejson: keyDir: ~/.config/chezmoi/ejson-keys # 或直接指定私钥内容优先于 keyDir # key: 4fed3b88a33a4621b30230f1ad17e175e10f8587e37e84da740711c9fecfe16dejsonConfig结构体还包含一个内部缓存字段cache不对外暴露见 internal/cmd/ejsontemplatefuncs.gotype ejsonConfig struct { KeyDir string json:keyDir mapstructure:keyDir yaml:keyDir Key string json:key mapstructure:key yaml:key cache map[string]any }四、缓存机制多次调用只解密一次官方文档强调的缓存行为在源码中有直接印证。ejsonDecrypt最终都会转发到ejsonDecryptWithKeyTemplateFunc实现func (c *Config) ejsonDecryptWithKeyTemplateFunc(filePath, key string) any { chezmoi.SkipTemplateIf(c.skipSecrets) if data, ok : c.Ejson.cache[filePath]; ok { return data } if c.Ejson.cache nil { c.Ejson.cache make(map[string]any) } decrypted : mustValue(ejson.DecryptFile(filePath, c.Ejson.KeyDir, key)) var data any must(json.Unmarshal(decrypted, data)) c.Ejson.cache[filePath] data return data } func (c *Config) ejsonDecryptTemplateFunc(filePath string) any { return c.ejsonDecryptWithKeyTemplateFunc(filePath, c.Ejson.Key) }关键点逐一拆解共享缓存入口ejsonDecrypt以c.Ejson.Key作为 key 参数调用ejsonDecryptWithKeyTemplateFunc与ejsonDecryptWithKey走的是同一个函数体因此两者天然共享以filePath为键的缓存——这与文档描述完全一致。按文件路径缓存缓存的键是filePath字符串而非解密结果。这意味着同一文件在同一模板渲染会话中只解密一次能显著降低重复解密的开销而不同文件路径互不影响。懒初始化cache字段在首次使用时才通过make(map[string]any)初始化c.Ejson.cache nil判断避免为未使用 ejson 的用户分配无谓内存。解密与解析两步先调用ejson.DecryptFile(filePath, c.Ejson.KeyDir, key)获得解密后的字节流再用json.Unmarshal解析为通用数据结构存入缓存并返回。skipSecrets保护函数开头调用chezmoi.SkipTemplateIf(c.skipSecrets)当配置了跳过机密skipSecrets时直接跳过渲染避免在不需要机密的场景下触发解密过程。五、配置优先级与实战示例综合官方文档与源码ejsonDecrypt的密钥解析遵循以下优先级从低到高环境变量$EJSON_KEYDIR指向的目录优先级最低仅作默认值来源配置文件ejson.keyDir指定的私钥目录覆盖环境变量配置文件ejson.key指定的私钥内容优先级最高一旦设置即取代keyDir模板中显式传入的key参数仅ejsonDecryptWithKey支持直接绕过配置。场景一仅使用默认目录将私钥文件文件名为私钥自身的十六进制摘要放入/opt/ejson/keys即可直接调用# 假设 ~/my-secrets.ejson 存在 {{ (ejsonDecrypt my-secrets.ejson).apiToken }}场景二通过环境变量指定密钥目录export EJSON_KEYDIR/path/to/ejson-keys chezmoi apply场景三通过配置文件指定目录或密钥# ~/.config/chezmoi/chezmoi.yaml ejson: keyDir: /home/user/.ejson-keys或直接内嵌私钥适用于密钥已存在于受保护的环境、不想落盘到固定目录的场景ejson: key: 4fed3b88a33a4621b30230f1ad17e175e10f8587e37e84da740711c9fecfe16d六、测试用例如何验证行为仓库中用于验证 ejson 模板函数行为的测试脚本是 internal/cmd/testdata/scripts/ejson.txtar它覆盖了本文讨论的几乎所有行为默认参数失败路径未配置任何密钥目录时ejsonDecrypt会报错couldnt read key file错误信息中带有从_public_key推导出的私钥路径/opt/ejson/keys/df82a403...验证了默认目录/opt/ejson/keys的生效。环境变量优先级env EJSON_KEYDIRgolden/keys后{{ (ejsonDecrypt golden/my-file.ejson).key1 }}输出value1证明$EJSON_KEYDIR生效。配置文件优先级高于环境变量在home_set_valid_keydir/user的配置中设置keyDir: golden/keys的同时设置EJSON_KEYDIRinvalid/keys解密仍成功证明配置项覆盖环境变量。key取代keyDir配置ejson.key为有效私钥时解密成功配置为foo时解密失败证明key优先级最高且内容必须真实有效。ejsonDecryptWithKey的显式密钥即使配置中的key无效只要在模板参数中传入正确的私钥即可成功解密反之传入无效 key 会失败——验证了显式参数绕过配置的行为。测试用加密文件golden/my-file.ejson展示了 ejson 文件的标准结构_public_key存放公钥其余字段key1、key2为EJ[...]包裹的密文。七、使用注意事项私钥安全ejsonDecrypt的解密发生在本地渲染过程如chezmoi apply、chezmoi execute-template、chezmoi cat等触发模板渲染的命令中私钥不会被写入目标文件但请确保密钥目录权限受控如/opt/ejson/keys仅对当前用户可读。相对路径解析filePath参数是模板渲染上下文中的相对路径建议将 ejson 文件放在与模板同目录或可预测的相对位置避免因工作目录不同导致找不到文件。缓存生命周期缓存仅在单次 chezmoi 进程/命令执行期间有效缓存存在于ejsonConfig实例中不同命令调用之间不会共享因此修改加密文件后重新执行命令即可拿到最新数据。与ejsonDecryptWithKey的选择默认推荐使用ejsonDecrypt配合keyDir/key配置密钥统一管理仅当需要为不同文件使用不同密钥、或在模板中临时指定密钥时才使用 ejsonDecryptWithKey。八、小结ejsonDecrypt为 chezmoi 模板提供了开箱即用的 ejson 解密能力它按文件路径缓存解密结果与ejsonDecryptWithKey共享密钥来源支持环境变量、keyDir配置、key配置三级体系底层通过 Shopify ejson 库完成解密并经 JSON 解析后返回结构化数据。掌握该函数后你可以将数据库口令、API Token 等敏感信息以 ejson 格式安全入库同时在多台机器上无缝复用同一套加密点文件。进一步阅读ejson 函数参考索引ejsonDecryptWithKey 函数参考ejson 用户指南ejson 配置变量说明模板函数注册处赞分享开发工具CLI配置管理【免费下载链接】chezmoiManage your dotfiles across multiple diverse machines, securely.项目地址https://gitcode.com/gh_mirrors/ch/chezmoi点击查看免费下载相关推荐ComfyUI自动完成功能终极指南如何提升AI绘画提示词效率300%ComfyUI自动完成功能终极指南如何提升AI绘画提示词效率300% ComfyUI自动完成功能 是ComfyUI Custom Scripts扩展中最实用的开发工具CLI配置管理AgentScope Realtime 语音智能体用蓝牙耳机收不到声音怎么排查AgentScope Realtime 语音智能体用蓝牙耳机收不到声音怎么排查 在 AgentScope 的 Realtime 语音示例中,如果你同时用一副蓝开发工具CLI配置管理离线语音识别与合成完整指南用 sherpa-onnx 在端侧跑通 ASR 与 TTS离线语音识别与合成完整指南用 sherpa onnx 在端侧跑通 ASR 与 TTS 想象这样一个场景你在做一款车机应用或手机 App需要语音输入和语音播开发工具CLI配置管理上一篇深入理解H3数学扩展库vec2d和vec3d几何运算的完整指南下一篇React Native状态管理Redux、MobX和Context API的选择指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考