调试GitHub Workflow时如何在日志中打印敏感信息？

以下是几种调试时查看敏感变量值的方法：

• 临时取消变量的敏感属性：如果是你自己维护的仓库或组织机密，调试期间可以暂时把它从"Secret"类型改成普通环境变量，核对完值后再改回Secret。注意调试完成后一定要及时改回，避免敏感信息泄露。

• 用GitHub CLI查看机密信息：在本地终端或者Workflow中授权GitHub CLI后，执行gh secret list命令，可以看到机密的名称和部分前缀内容，能帮你确认变量是否正确配置，虽然看不到完整值，但足够做基础核对。

• 临时用非敏感变量中转输出（仅限调试）：可以尝试把敏感变量赋值给普通环境变量再输出，不过GitHub的自动掩码机制可能依然会拦截，示例代码如下：

  - name: 调试敏感变量
    run: |
      DEBUG_CONTENT="${{ secrets.MY_SENSITIVE_VAR }}"
      echo "::set-output name=debug_val::$DEBUG_CONTENT"
    id: debug_step
  - name: 打印调试值
    run: echo "${{ steps.debug_step.outputs.debug_val }}"
  

  注意：这个方法不保证100%生效，绝对不能在生产环境使用，仅用于本地调试阶段。

• 写入文件后下载查看：把敏感变量写入文件，通过artifact下载到本地查看，这样日志里不会显示明文内容，示例：

  - name: 将敏感变量写入文件
    run: echo "${{ secrets.MY_SECRET }}" > secret_content.txt
  - name: 上传文件作为artifact
    uses: actions/upload-artifact@v4
    with:
      name: secret-debug-file
      path: secret_content.txt
  

  运行完Workflow后，在页面的"Artifacts"栏下载这个文件，就能查看完整的敏感变量值。

内容的提问来源于stack exchange，提问作者Clair