我正在构建一个为 3rd 方服务提供 API 的开源库。在此期间，我正在学习测试、git-flow 和持续部署，并遇到了一个与保护开源项目的环境变量相关的问题。
我目前已经通过 travis cli: 生成了秘密环境变量travis encrypt key=value，用于自动化系统测试。
在将更新推送到功能分支或拉取请求时，注意到测试是由 travis ci 自动运行的，这很棒。但我开始想知道是什么保护我免受有人发出拉取请求，恶意收集process.env对象并将其推送到外部的东西，从而暴露我宝贵的环境变量。
如何真正确保在 travis ci 中保护环境凭据（例如 API 凭据）以进行系统测试？
我什至应该创建系统测试吗？或者我应该伪造对外部服务的请求？