如何将GitHub Actions输出转为环境变量？兼容旧工作流问询

错误原因 #

你遇到的模板语法错误，是因为steps.secrets.outputs是一个键值对映射对象，而GitHub Actions的环境变量仅支持字符串类型，直接赋值会触发类型不匹配的校验错误。

方案一：批量导出所有输出为环境变量 #

如果需要一次性将所有Secret Manager的输出转为环境变量，可通过中间步骤的脚本实现：

方法1：使用jq解析JSON（推荐，需runner预装jq） #

- id: 'secrets'
  uses: 'google-github-actions/get-secretmanager-secrets@v2'
  with:
    secrets: |-
      token:my-project/docker-registry-token
      api_key:my-project/api-key

- name: 批量导出密钥到环境变量
  run: |
    # 将输出转为JSON后遍历所有键值对，写入GITHUB_ENV
    for key in $(echo '${{ toJSON(steps.secrets.outputs) }}' | jq -r 'keys[]'); do
      value=$(echo '${{ toJSON(steps.secrets.outputs) }}' | jq -r --arg key "$key" '.[$key]')
      echo "$key=$value" >> "$GITHUB_ENV"
    done

- id: 'publish'
  uses: 'foo/bar@v1'
  # 无需手动设置env，后续步骤会自动继承GITHUB_ENV中的所有变量

方法2：纯Bash解析（无需额外工具） #

如果runner没有jq，可通过字符串处理实现：

- name: 批量导出密钥到环境变量
  run: |
    secrets_json='${{ toJSON(steps.secrets.outputs) }}'
    # 去除JSON格式符号后遍历键值对
    while IFS=":" read -r key value; do
      key=$(echo "$key" | tr -d '"{},')
      value=$(echo "$value" | tr -d '"{},')
      echo "$key=$value" >> "$GITHUB_ENV"
    done <<< "$secrets_json"

方案二：在复合Action中暴露输出给调用者 #

如果你的密钥获取逻辑是封装在复合Action中，可以直接在action.yaml里声明输出，将Secret Manager的输出映射为复合Action的输出，让调用者直接使用：

复合Action的action.yaml示例 #

name: 'GCP密钥获取'
description: '从GCP Secret Manager拉取密钥并暴露为输出'
outputs:
  token:
    description: 'Docker镜像仓库令牌'
    value: ${{ steps.secrets.outputs.token }}
  api_key:
    description: 'API访问密钥'
    value: ${{ steps.secrets.outputs.api_key }}
runs:
  using: 'composite'
  steps:
    - id: 'auth'
      uses: 'google-github-actions/auth@v2'
      with:
        workload_identity_provider: 'projects/123456789/locations/global/workloadIdentityPools/my-pool/providers/my-provider'
        service_account: 'my-service-account@my-project.iam.gserviceaccount.com'

    - id: 'secrets'
      uses: 'google-github-actions/get-secretmanager-secrets@v2'
      with:
        secrets: |-
          token:my-project/docker-registry-token
          api_key:my-project/api-key

调用复合Action的工作流示例 #

- id: 'fetch-secrets'
  uses: './path/to/your/action' # 替换为你的复合Action路径或GitHub地址

- id: 'publish'
  uses: 'foo/bar@v1'
  env:
    TOKEN: ${{ steps.fetch-secrets.outputs.token }}
    API_KEY: ${{ steps.fetch-secrets.outputs.api_key }}

注意：GitHub Actions暂不支持动态声明输出，所以如果密钥数量不固定，还是推荐用批量导出环境变量的方案。

内容的提问来源于stack exchange，提问作者Erik B