GitHub Action中S3预签名URL遭掩码无法访问的解决方法咨询

方案1：使用CloudFront预签名URL替代S3原生预签名URL #

GitHub的掩码机制会识别S3预签名URL中包含的AWS访问密钥（AMZ-Credential里的AKIAxxx部分）和临时Token，进而替换为***。而CloudFront的预签名URL使用独立的CloudFront密钥对生成，不会包含AWS IAM凭证信息，因此不会被GitHub掩码。

具体步骤：

• 配置CloudFront分发，关联目标S3存储桶，启用Origin Access Control (OAC)，确保S3桶保持私有，仅允许CloudFront访问桶内对象。
• 在AWS控制台的CloudFront密钥管理中生成密钥对，将私钥存储为GitHub Secrets。
• 在GitHub Action中，上传文件到S3后，使用AWS SDK或aws cloudfront sign命令生成CloudFront预签名URL。
• 将生成的CloudFront URL输出到Action日志或PR/Issue评论中，此时URL不会被掩码，点击即可访问S3对象。

方案2：通过GitHub Artifacts中转访问 #

如果文件大小在GitHub Artifacts的限制内（免费版单文件最大2GB，总存储10GB），可以先将文件上传到GitHub Artifacts，同时同步到S3：

• 在Action中使用actions/upload-artifact将文件上传到GitHub Artifacts。
• 上传完成后，GitHub会自动生成Artifacts的访问链接，直接在Action UI中显示，无需担心掩码问题。
• 同时保留上传到S3的步骤，满足长期存储需求。

方案3：用Lambda生成无敏感信息的临时访问链接 #

通过AWS Lambda创建简单代理服务，生成不包含敏感凭证的临时访问链接：

• 编写Lambda函数，接收S3对象键作为参数，在函数内部生成S3预签名URL，返回一个重定向链接或短链接。
• 在GitHub Action中，上传文件到S3后，调用Lambda函数获取这个代理链接，输出到Action UI。
• 由于代理链接本身不包含AWS凭证，不会被GitHub掩码，用户点击后会通过Lambda重定向到真实的S3预签名URL。

方案4：在PR/Issue评论中发布预签名URL #

GitHub Action日志会自动掩码敏感字符串，但PR或Issue的评论通常不会触发自动掩码（需确认你的GitHub组织无额外安全规则）：

• 在Action中，使用GitHub CLI（gh）命令，将S3预签名URL作为评论内容添加到对应的PR或Issue中。
• 示例命令：

  gh pr comment $PR_NUMBER --body "上传的文件链接：[点击查看](https://your-s3-presigned-url)"
  

• 用户可在PR/Issue中直接点击链接访问，避免Action日志的掩码问题。

内容的提问来源于stack exchange，提问作者Afsal