如何优化Secret的创建/更新逻辑？当前Action因首命令执行失败

你当前用||分支的逻辑存在缺陷：只要gcloud secrets create返回非0（不管是Secret已存在、权限不足还是网络错误），都会执行add操作，容易掩盖真实问题，逻辑也不够严谨。以下是更可靠的实现方案：

优化后的GitHub Action代码 #

- name: Apply Nginx Configuration
  env:
    SERVICE_NAME: ${{ secrets.SERVICE_NAME }}
  run: |
    # 检查Secret是否存在，不存在则创建，存在则更新版本
    if ! gcloud secrets describe "${SERVICE_NAME}_nginx_config" > /dev/null 2>&1; then
      gcloud secrets create "${SERVICE_NAME}_nginx_config" --replication-policy='automatic' --data-file=nginx.conf
    else
      gcloud secrets versions add "${SERVICE_NAME}_nginx_config" --data-file=nginx.conf
    fi

    # 获取项目编号并设置目标服务账号
    export PROJECT_NUMBER=$(gcloud projects describe $(gcloud config get-value project) --format='value(projectNumber)')
    TARGET_SERVICE_ACCOUNT="${PROJECT_NUMBER}-compute@developer.gserviceaccount.com"

    # 检查是否已存在对应的IAM绑定，避免重复添加报错
    if ! gcloud secrets get-iam-policy "${SERVICE_NAME}_nginx_config" \
        --filter="bindings.members:${TARGET_SERVICE_ACCOUNT} AND bindings.roles:roles/secretmanager.secretAccessor" \
        --format='value(bindings)' > /dev/null 2>&1; then
      gcloud secrets add-iam-policy-binding "${SERVICE_NAME}_nginx_config" \
        --member="serviceAccount:${TARGET_SERVICE_ACCOUNT}" \
        --role='roles/secretmanager.secretAccessor'
    fi

优化点说明 #

• 精准判断Secret状态：通过gcloud secrets describe的返回值明确判断Secret是否存在，只有确实不存在时才执行创建，避免把其他错误误判为“已存在”。
• 避免IAM绑定重复报错：添加绑定前先检查是否已存在该权限配置，防止重复执行时因重复绑定导致Action失败。
• 逻辑拆分更清晰：每一步操作的目的明确，便于后续排查问题。

你当前Action执行失败的可能原因 #

1. 原代码中的"是HTML转义字符，在YAML中应直接使用双引号或单引号，可能导致命令解析错误。
2. ||的逻辑会把create的所有错误（比如权限不足）都引导到add操作，若add也执行失败，就会导致整个步骤报错。

内容的提问来源于stack exchange，提问作者Rodrigo