如何避免GitHub可重用工作流赋值时变量值自动在日志暴露？

问题根源 #

当你在run步骤里直接用${{ needs.get-variable.outputs.MY_VARIABLE }}展开变量时，GitHub Actions会先解析表达式，把完整的展开后命令（包含变量明文）写入日志——哪怕你只是赋值没主动回显，敏感内容也会泄露。直接用::add-mask::没法阻止这种预解析阶段的日志记录。

解决方案（保持原有工作流结构不变） #

通过Step环境变量传递敏感值，避免在run命令里直接用GitHub表达式展开，配合掩码确保后续操作安全：

修改use-variable工作流如下：

use-variable:
needs: get-variable
runs-on: ubuntu-latest
name: Reuse variable
steps:
   - uses: actions/checkout@v4
   - name: Run Integration Tests
     env:
       # 用Step环境变量传递敏感输出，避开run命令中的直接表达式展开
       SECRET_VAR: ${{ needs.get-variable.outputs.MY_VARIABLE }}
     run: |
       # 先给环境变量值做掩码，后续任何地方输出该值都会被隐藏
       echo "::add-mask::$SECRET_VAR"
       # 引用Shell环境变量赋值，日志只会显示TMP_VAR=$SECRET_VAR，不会泄露实际值
       TMP_VAR=$SECRET_VAR
       # 后续正常使用TMP_VAR即可，比如执行测试脚本等

原理说明 #

1. Step环境变量传递：把needs的输出赋值给Step的env变量，GitHub只会记录环境变量定义（不会展开值），从源头避免预解析泄露。
2. 提前掩码：使用echo "::add-mask::$SECRET_VAR"标记敏感值，GitHub会自动将后续所有该值的输出替换为***。
3. Shell变量引用：在run里用$SECRET_VAR引用环境变量，日志仅显示变量名而非实际内容，彻底解决赋值阶段的泄露问题。

内容的提问来源于stack exchange，提问作者Tarta