如何在GitHub Workflow中保护GitHub Token并结合Docker部署Spring Cloud Config

Token保护的关键要点 #

• 所有敏感信息（GitHub Token、Docker Hub账号密码）都存在GitHub Secrets里，Workflow里只用${{ secrets.xxx }}引用——GitHub会自动把这些值屏蔽，不会在运行日志里泄露。
• 绝对别在Docker镜像构建时把Token塞进去：镜像推到公共仓库后，任何人拉下来都能拿到Token，必须等容器启动的时候再通过环境变量传进去。

优化后的Workflow配置 #

build_config_server:
  runs-on: ubuntu-latest
  steps:
    - uses: actions/checkout@v3
    - name: 配置JDK 17环境
      uses: actions/setup-java@v3
      with:
        java-version: "17"
        distribution: "temurin"
        cache: maven
    - name: 构建Config服务的Maven包
      run: mvn -B package --file config-server/pom.xml
    - name: 构建Docker镜像
      run: docker build -t ${{ secrets.DOCKER_USERNAME }}/app-config-server:latest -f config-server/Dockerfile config-server
    - name: 登录Docker Hub
      uses: docker/login-action@v2
      with:
        username: ${{ secrets.DOCKER_USERNAME }}
        password: ${{ secrets.DOCKER_PASSWORD }}
    - name: 推送镜像到Docker Hub
      run: docker push ${{ secrets.DOCKER_USERNAME }}/app-config-server:latest

调整说明 #

1. 删掉了原配置里两处注入SPRING_CLOUD_CONFIG_SERVER_GIT_PASSWORD的代码——原做法会把Token打包进镜像，完全是安全隐患。
2. Token要在容器运行时传入，比如用docker run命令的时候加参数：

   docker run -d -p 8888:8888 \
     -e SPRING_CLOUD_CONFIG_SERVER_GIT_PASSWORD=你的GitHubToken \
     你的Docker用户名/app-config-server:latest
   

   如果用K8s这类编排工具，就用Secret来挂载环境变量，保证Token只在容器运行时可见。

额外安全提醒 #

• 给GitHub Token设最小权限：只开读取配置仓库的权限（repo:read），别给全权限，就算泄露了影响也小。
• 定期更换Secrets里的敏感信息，别一直用同一个Token。
• 开启GitHub仓库的Secret扫描功能，能自动检测代码里有没有不小心提交的敏感信息。

内容的提问来源于stack exchange，提问作者Kollimarla Jagadeep