如何避免GitHub Actions输出中泄露含$符号的密钥

核心问题 #

当前配置会让GitHub Actions打印出包含敏感密码的完整脚本内容，导致admin_pwd这类带$的敏感值暴露在日志里。

解决方案 #

方法1：禁用步骤的命令打印 #

直接给步骤添加echo: false参数，GitHub就不会输出该步骤的命令内容，仅显示执行结果：

- name: Setup terraform variables       
  shell: bash
  echo: false  # 关键：禁用命令打印
  run: |
      cat <<'EOF'>terraform.tfvars
      ${{ inputs.tfvars-content }}
      EOF

方法2：通过环境变量传递敏感内容（更安全） #

将敏感内容存入环境变量，利用GitHub自动掩码敏感值的特性，同时配合echo: false双重保障：

- name: Setup terraform variables       
  shell: bash
  echo: false
  env:
    TFVARS_CONTENT: ${{ inputs.tfvars-content }}
  run: |
      cat <<'EOF'>terraform.tfvars
      $TFVARS_CONTENT
      EOF

注意：保持<<'EOF'的单引号格式，避免bash解析内容中的$符号，确保变量原封不动写入文件。

额外提示 #

如果tfvars-content是从GitHub Secrets（环境密钥）直接获取的，建议直接用secrets而非inputs传递，GitHub会自动对secrets内容进行掩码处理，即使意外打印也只会显示***。

内容的提问来源于stack exchange，提问作者Tomtom