从公开仓库私密发布 GitHub Pages 网站

简体中文 English

使用 GitHub Actions 从公开仓库私密发布 GitHub Pages 网站，完全隐藏网站文件列表和历史记录，无需付费

背景和原因

GitHub 免费账户限制只能从公开仓库发布 GitHub Pages 网站，这会带来一些隐私问题。任何人都可以：

• 查看文件修改历史记录，历史隐私数据难以删除
• 查看文件列表，轻松找到未发布的草稿
• 随意 fork 仓库，所有数据将保持公开，难以删除
• 轻松打包下载所有静态网站文件

原理和效果

不在 GitHub 仓库中存储任何静态网站文件，而是使用 GitHub Actions 远程下载静态网站打包文件并直接发布到 GitHub Pages。

效果：

• GitHub 免费账户也可以使用，不需要仅为此功能付费
• 文件修改历史记录不公开，无法随意查看历史隐私数据
• 文件列表不公开，无法轻松找到存储到秘密路径的页面文件
• Fork、clone、打包下载不会涉及网站数据

使用方法

需求

• 可以上传和下载文件的 web 服务，例如：
  • Web 服务器（推荐每次都上传到相同路径，下载链接固定，不需要每次运行 workflow 都指定参数）
  • 可以直链下载的文件共享服务，例如 file.io（这类服务的下载链接一般都不固定，每次运行 workflow 都需要指定参数）
• 已生成的静态网站文件

初始化仓库

• Fork 本仓库，repository name 改为想要的名字，一般是<用户名小写>.github.io（官方文档）
• 修改仓库设置：
  • Settings - Actions - General - Artifact and log retention 设置为最小值 1 day
  • Settings - Pages，Source 改为 GitHub Actions
• 进入 Actions，首次进入会出现警告 Workflows aren’t being run on this forked repository，点击 I understand my workflows, go ahead and enable them 按钮确认该警告。

设置参数

共有 3 个参数需要设置：

• REMOTE_FILE_URL：必须设置，静态网站打包文件的 URL。
• REMOTE_FILE_TYPE：必须设置，静态网站打包文件的格式，可选选项：7z，tar。
• REMOTE_FILE_PASSWORD：可选，静态网站打包文件的加密解密口令（密码）。如果未加密，则不需要设置此参数。

可以在 2 个位置设置参数：

• 固定参数：Settings - Secrets - Actions，点击 New repository secret，添加为 secrets。仅需在此处设置 1 次，在运行 workflow 时留空，无需设置。
• 非固定参数：在每次运行 workflow 时设置。如果 secrets 中存在相同的参数，会被此处填写的值覆盖。

建议尽量使用固定的参数并设置为 secrets，而不要在每次运行 workflow 时指定参数。因为 secrets 参数会在 workflow run 的日志中隐藏，而运行 workflow 时指定的参数会直接输出到日志中，可公开查看，无法隐藏。

打包静态网站文件

共支持 4 种打包文件，请按需选择打包文件类型。各种类型及示例文件如下：

• demo/test.7z：使用 7-Zip 打包压缩，未加密
• demo/test.enc.7z：使用 7-Zip 打包压缩并加密，加密文件名，密码为 123456
• demo/test.tar.gz：使用 tar 打包压缩，未加密
• demo/test.tar.gz.enc：使用 tar 打包压缩，然后使用 openssl 加密，密码为 123456

假设静态网站文件位于 /path/to/static/dir 目录，密码为 YOUR_PASSWORD_123456。以下是打包的命令示例，运行环境为 Ubuntu 20.04。

使用 7z 打包压缩为 /path/to/files.7z，未加密：

cd /path/to/static/dir && 7z a /path/to/files.7z .

使用 7z 打包压缩并加密为 /path/to/files.7z，加密文件名，加密解密口令硬编码到命令参数：

cd /path/to/static/dir && 7z a -mhe=on -pYOUR_PASSWORD_123456 /path/to/files.7z .

也可以使用 Windows 图形化界面程序将静态网站文件打包为 7z 格式。

使用 tar 打包压缩为 ./files.tar.gz，未加密：

tar --owner 0 --group 0 --numeric-owner -czvf files.tar.gz -C /path/to/static/dir .

使用 tar 和 openssl 打包压缩并加密为 ./files.tar.gz.enc，加密解密口令硬编码到命令参数：

tar --owner 0 --group 0 --numeric-owner -czvf - -C /path/to/static/dir . | openssl enc -aes-256-cbc -pbkdf2 -pass pass:YOUR_PASSWORD_123456 -in - -out files.tar.gz.enc

部署

把打包文件上传到你的服务器或者文件共享服务。使用命令行将打包文件 /path/to/files.7z 上传到 file.io 示例：

curl -F 'file=@/tmp/test.bin' https://file.io/

Actions - Deploy to GitHub Pages - Run workflow，填写非固定参数，点击 Run workflow，等待运行完毕。运行完毕后：

• 如果运行成功，workflow run 会自动删除，无需进一步操作。
• 如果运行失败，workflow run 不会自动删除，其中的日志、artifacts 可能包含隐私数据，并且可以公开查看。请在排除错误后手动删除所有 workflow run。

最后删除服务器上的打包文件，取消文件共享。

建议将以上打包和部署步骤固定为自定义脚本。