重构GitHub部署工作流：如何同时使用全局与环境级密钥/变量？

核心逻辑 #

利用GitHub Actions的environment关键字，通过当前分支名（github.ref_name）自动绑定对应环境，仓库级密钥/变量会自动与环境级合并——环境级同名变量会优先覆盖仓库级，刚好匹配你「同一变量名、不同环境值」的需求，全局共用的密钥直接引用仓库级即可。

前置配置 #

1. 创建对应环境：在仓库「Settings」→「Environments」中创建dev、staging、main三个环境，每个环境下添加同名变量：NEXT_PUBLIC_API_URL、NEXTAUTH_URL，以及密钥NEXTAUTH_SECRET（每个环境填写对应的值）。
2. 配置全局密钥：在仓库「Settings」→「Secrets and variables」→「Actions」中添加全局共用的AWS密钥：PIPELINE_USER_ACCESS_KEY_ID、PIPELINE_USER_SECRET_ACCESS_KEY、AWS_REGION。

完整工作流示例 #

name: Multi-Environment Deployment

on:
  push:
    branches: [dev, staging, main]
  workflow_dispatch:

jobs:
  deploy-client:
    runs-on: ubuntu-latest
    # 核心：通过分支名动态绑定环境
    environment: ${{ github.ref_name }}
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Detect client code changes
        id: client-changes
        run: |
          # 替换为你实际的代码变更检测逻辑
          CHANGED_FILES=$(git diff --name-only ${{ github.event.before }} ${{ github.sha }} | grep -E 'client/')
          echo "client=${{ ! -z "$CHANGED_FILES" }}" >> $GITHUB_OUTPUT

      - name: Configure AWS credentials
        if: ${{ github.event_name == 'workflow_dispatch' || steps.client-changes.outputs.client == 'true' }}
        uses: aws-actions/configure-aws-credentials@v4
        with:
          # 直接引用仓库级全局密钥
          aws-access-key-id: ${{ secrets.PIPELINE_USER_ACCESS_KEY_ID }}
          aws-secret-access-key: ${{ secrets.PIPELINE_USER_SECRET_ACCESS_KEY }}
          aws-region: ${{ secrets.AWS_REGION }}

      - name: Build, tag, push Client image to ECR
        if: ${{ github.event_name == 'workflow_dispatch' || steps.client-changes.outputs.client == 'true' }}
        uses: docker/build-push-action@v5
        with:
          context: ./client
          push: true
          tags: ${{ secrets.AWS_ACCOUNT_ID }}.dkr.ecr.${{ secrets.AWS_REGION }}.amazonaws.com/client:${{ github.sha }}
          build-args: |
            # 自动读取当前绑定环境的变量/密钥
            NEXT_PUBLIC_API_URL=${{ vars.NEXT_PUBLIC_API_URL }}
            NEXTAUTH_URL=${{ vars.NEXTAUTH_URL }}
            NEXTAUTH_SECRET=${{ secrets.NEXTAUTH_SECRET }}

关键细节 #

• 优先级规则：当工作流绑定环境后，vars.XXX会优先读取环境级变量，若环境未设置则自动 fallback 到仓库级变量；secrets.XXX遵循同样逻辑。
• 分支-环境映射：如果分支名和环境名不完全匹配（比如main分支对应production环境），可以用条件判断调整：

  environment: ${{ github.ref_name == 'main' && 'production' || github.ref_name }}
  

• 环境保护：可给环境添加审批、分支限制等规则，进一步管控部署流程的安全性。

内容的提问来源于stack exchange，提问作者SeekanDestroy