实现这一点的典型方法是从配置文件中读取密码信息。如果你的配置文件叫做foobar。Config，然后向存储库提交一个名为foobar.config.example的文件，其中包含示例数据。要运行程序，需要创建一个名为foobar的本地(不跟踪)文件。配置您的真实密码数据。

要从以前的提交中过滤出您现有的密码，请参阅GitHub删除敏感数据的帮助页面。

下面是我使用的一个技巧:

我在我的主文件夹中创建了一个名为: config

在这个文件夹中，我放置了我想外部化密码和密钥的任何数量的配置文件。

我通常使用反向域名语法，例如:

com.example.databaseconfig

然后在bash脚本中我这样做:

#!/bin/bash
source $HOME/.config/com.example.databaseconfig ||exit 1

|| exit 1如果无法加载配置文件，将导致脚本退出。

我在bash、python和ant脚本中使用了这种技术。

我很偏执，认为.gitignore文件不够健壮，无法防止无意签入。此外，没有任何监控机制，所以即使发生了签入，也没有人会发现如何处理它。

如果一个特定的应用程序需要一个以上的文件，我创建子文件夹而不是一个单一的文件。

可以使用HashiCorp Vault来保护、存储和控制对令牌、密码、证书、API密钥等的访问。

Ansible特别有一个“Vault”功能(与HashiCorp产品无关)，用于加密静止的秘密。

Greg说的，但我想补充的是，签入文件foobar.config-TEMPLATE是个好主意。

它应该包含示例名称、密码或其他配置信息。那就很明显什么才是真正的傻瓜了。Config应该包含，而不必查看所有必须在foobar中显示的值的代码。配置和格式。

通常配置值可以是不明显的，如数据库连接字符串和类似的东西。

Is there any possibility to tell github to track the file under a different name? Example: Locally, I have a file passwords.config with real passwords, and sample-passwords.config with stubs. However, in public repo, I'd like to have only passwords.config with content from sample-passwords.config and real passwords.config ignored. I know .gitignore, which can hide my passwords.config, but I don't know is there any solution to rename sample-passwords.config while commiting to remote public repo. Of course, I'd like to avoid situation, when my local repo tracks renamed file as if something changed in git status.

如果您正在使用ruby on rails，费加罗宝石非常好，简单，可靠。它在生产环境中也没有什么令人头痛的因素。