source_credentials.json

警告

此功能是实验性的，可能会发生重大更改。有关更多信息，请参阅 Conan 稳定性 部分。

当 conanfile.py 脚本使用 download() 或 get() 辅助函数从其他服务器下载一些源代码时，例如

def source(self):
    # Immutable source .zip
    download(self, f"https://server/that/need/credentials/files/tarballname-{self.version}.zip", "downloaded.zip")
    # Also the ``get()`` function, as it internally calls ``download()``

这些下载通常对于互联网上的开源第三方库是匿名的，但也可能某些私有组织中的专有代码或由供应商提供的代码需要某种形式的身份验证。

为此目的，可以在 Conan 缓存中提供 source_credentials.json 文件。该文件具有以下格式，其中每个 credentials 条目都应包含一个 url，该 url 应与配方中的 URL 匹配。如果配方 URL 以凭据文件中给出的 URL 开头，则将注入凭据。如果文件提供了多个 URL 的多个凭据，它们将按顺序进行评估，直到发生第一次匹配。如果未找到匹配项，则不会注入凭据。也可以使用自定义的 授权插件 直接从您自己的秘密管理器检索凭据。

需要注意的是，source_credentials 仅适用于使用 tools.files 的 download() 和 get() 辅助函数下载的文件，而不会在其他情况下使用。要为 Conan 仓库提供凭据，应改用 credentials.json 文件，请参阅 credentials.json。

{
    "credentials": [
        {
            "url": "https://server/that/need/credentials",
            "token": "mytoken"
        }
    ]
}

使用 token 字段，将添加一个 Authorization = Bearer {token} 标头。这通常是首选的身份验证方式，因为它比使用用户名/密码更安全。

如果出于某种原因需要 HTTP-Basic 身份验证（使用用户名/密码），则可以通过 user 和 password 字段来提供。

{
    "credentials": [
        {
            "url": "https://server/that/need/credentials",
            "user": "myuser",
            "password": "mypassword"
        }
    ]
}

作为一般规则，强烈不建议在文件中硬编码秘密（如密码）。为避免这种情况，source_credentials.json 文件始终会像 jinja 模板一样进行渲染，因此它可以执行诸如获取环境变量 os.getenv() 之类的操作，从而允许在系统或 CI 级别配置秘密。

{% set mytk = os.getenv('mytoken') %}
{
    "credentials": [
        {
            "url": "https://server/that/need/credentials",
            "token": "{{mytk}}"
        }
    ]
}

注意

最佳实践

• 避免在 conanfile.py 脚本中使用编码了 token 或用户名/密码的 URL。这些 URL 很容易泄露到日志中，并且在凭据更改时更难修复（这同样适用于 Git 仓库 URL 和克隆，最好使用其他 Git 身份验证机制，如 ssh-keys）。

另请参阅

• 如何使用您自己的秘密管理器登录您的源代码服务器.