GitHub多作业部署保护优化：如何集中管控审批机制？

针对你遇到的重复审批、无法正确捕获审批结果的问题，可通过集中式环境审批作业+部署作业条件依赖的方式解决，具体如下：

一、创建集中式审批作业（每个环境仅触发一次审批） #

将审批逻辑抽离为独立作业，仅针对需要审批的tst/stg环境生成矩阵，每个环境仅触发一次审批请求，避免重复触发：

environment_approval:
  needs: determine_target_env
  runs-on: ubuntu-latest
  strategy:
    matrix:
      # 仅从目标环境中筛选需要审批的项
      target_env: ${{ fromJson(needs.determine_target_env.outputs.target_env) }}
    # 排除无需审批的dev环境
    exclude:
      - target_env: dev
  fail-fast: false
  # 绑定对应环境的审批规则
  environment: >-
    ${{ 
      matrix.target_env == 'tst' && 'test-environment' ||
      matrix.target_env == 'stg' && 'stage-environment'
    }}
  steps:
    # 审批通过后仅执行空步骤，无需额外逻辑
    - name: Confirm approval
      run: echo "Approval granted for ${{ matrix.target_env }}"

关键说明： #

• 该作业仅针对tst/stg环境生成审批任务，每个环境仅触发一次审批请求；
• 无需设置continue-on-error: true：审批被拒绝时作业直接失败，后续依赖该作业的部署任务会自动终止；审批通过时作业成功，部署任务可正常执行。

二、配置部署作业的条件依赖 #

修改部署作业的触发条件，让tst/stg环境的部署必须等待对应审批作业完成，dev环境直接执行：

deploy:
  needs: [determine_target_env, environment_approval]
  runs-on: ubuntu-latest
  strategy:
    matrix:
      target_env: ${{ fromJson(needs.determine_target_env.outputs.target_env) }}
  # 条件判断：dev环境直接执行；tst/stg环境需对应审批作业成功
  if: >-
    (matrix.target_env == 'dev') ||
    (contains(needs.environment_approval.matrix.target_env, matrix.target_env) && needs.environment_approval.result == 'success')
  # 保留原环境配置（仅用于部署上下文，不会重复触发审批）
  environment: >-
    ${{ 
      matrix.target_env == 'tst' && 'test-environment' ||
      matrix.target_env == 'stg' && 'stage-environment' ||
      ''
    }}
  steps:
    # 你的部署执行步骤
    - name: Deploy to ${{ matrix.target_env }}
      run: echo "Starting deployment to ${{ matrix.target_env }}"

关键说明： #

• 通过if条件实现分支逻辑：dev环境跳过审批依赖，直接执行；tst/stg环境仅在对应审批作业成功后才启动；
• 部署作业的environment配置仅用于绑定环境上下文（如环境变量、 secrets），不会再次触发审批（因为审批已在前置作业完成）。

三、为什么之前的方案失效？ #

1. 重复审批问题：原配置在每个部署作业中设置environment，导致每个作业都触发一次审批；
2. 审批结果捕获问题：GitHub环境审批是作业级别的 gate，审批被拒绝时作业会直接终止，无法执行后续步骤输出状态，因此无需尝试捕获审批结果，直接依赖作业状态即可。

内容的提问来源于stack exchange，提问作者Nish