如何避免GitHub Actions工作流日志泄露仓库密钥？

首先明确：你当前的问题核心是用vars存储敏感密钥，且直接在run命令中插值输出，导致日志明文显示。以下是两种可靠的解决方式：

1. 改用GitHub Secrets存储密钥（推荐） #

GitHub Secrets专门用于存储敏感信息，会自动在所有日志中掩盖内容，同时保留指定开发者的访问权限（仓库管理员可控制谁能查看/更新Secrets）。

修改你的工作流配置：

jobs:
  Setup:
    name: Setup
    runs-on: ubuntu-latest
    steps:
      - name: Validate and Apply Secrets
        env:
          # 将密钥从vars迁移到secrets，这里引用仓库Secrets
          SECRET_CONTENT: ${{ secrets.REPO_SECRET }}
        run: |
          echo "$SECRET_CONTENT" > secret.json

这样处理后，日志中所有涉及SECRET_CONTENT的内容都会被替换为***，完全避免明文暴露。

2. 关闭命令日志输出（临时方案，不推荐用于敏感密钥） #

如果暂时无法迁移到Secrets，可通过关闭run步骤的命令打印来避免插值后的密钥被日志记录：

jobs:
  Setup:
    name: Setup
    runs-on: ubuntu-latest
    steps:
      - name: Validate and Apply Secrets
        run: |
          set +x  # 关闭当前shell的命令输出日志
          echo '${{ vars.REPO_SECRET }}' > secret.json
          set -x  # 若后续步骤需要打印命令，可恢复

注意：这种方法只是隐藏了执行的命令本身，若密钥被其他操作意外输出（比如脚本错误、调试信息），仍有暴露风险，因此仅作为临时过渡方案。

内容的提问来源于stack exchange，提问作者MadaraUchiha