使用GitHub Workflow部署Flutter Web时，如何安全保护.env文件？

针对你遇到的「.env被忽略导致部署报错，但提交.env会泄露敏感信息」的问题，有以下几种安全可行的方案：

方案1：用GitHub Secrets动态生成.env文件 #

1. 打开GitHub仓库的「Settings」→「Secrets and variables」→「Actions」，添加.env里的每个敏感键值对（比如API_URL、API_KEY），每个键对应一个Secret。
2. 修改你的Workflow文件，在构建步骤前新增生成.env的步骤：

name: gh-pages

on:
  push:
    branches: [main]

jobs:
  build:
    runs-on: macos-latest

    steps:
      - uses: actions/checkout@v2
      - uses: subosito/flutter-action@v1
      # 动态生成.env文件
      - name: Generate .env from Secrets
        run: |
          echo "API_URL=${{ secrets.API_URL }}" >> .env
          echo "API_KEY=${{ secrets.API_KEY }}" >> .env
          # 按需添加其他环境变量
      - uses: bluefireteam/flutter-gh-pages@v7
        with:
          baseHref: /onldocc_admin/

这样构建时会自动生成包含敏感信息的.env文件，既不用提交到仓库，又能满足Flutter构建的需求。

方案2：直接传入Flutter编译时变量 #

跳过.env文件，直接在构建命令中通过--dart-define注入环境变量，同时调整Workflow的部署步骤：

name: gh-pages

on:
  push:
    branches: [main]

jobs:
  build:
    runs-on: macos-latest

    steps:
      - uses: actions/checkout@v2
      - uses: subosito/flutter-action@v1
      # 手动构建Web并注入变量
      - name: Build Flutter Web with env vars
        run: flutter build web --dart-define=API_URL=${{ secrets.API_URL }} --dart-define=API_KEY=${{ secrets.API_KEY }} --base-href=/onldocc_admin/
      # 部署到GitHub Pages
      - name: Deploy to gh-pages
        uses: peaceiris/actions-gh-pages@v3
        with:
          github_token: ${{ secrets.GITHUB_TOKEN }}
          publish_dir: ./build/web

在Flutter代码中，通过const String apiUrl = String.fromEnvironment('API_URL');来读取这些编译时变量。

方案3：拆分公开与敏感配置 #

把.env拆成两个文件：

• .env.public：存放非敏感配置（比如公开的API路径、网站标题），提交到仓库。
• .env.secret：存放敏感信息，加入.gitignore。
  然后在Workflow中合并两个文件生成最终的.env：

# 在Workflow中新增合并步骤
- name: Merge public and secret env files
  run: |
    cat .env.public > .env
    echo "API_KEY=${{ secrets.API_KEY }}" >> .env
    # 添加其他敏感变量

这种方式适合既有公开配置又有敏感信息的场景，减少Secrets的维护量。

内容的提问来源于stack exchange，提问作者Hyejung