如何在GitHub Action中安全简洁地使用AWS Secrets Manager中的密钥

我在AWS Secrets Manager中存储了密钥，通过aws-cli在GitHub Action工作流中获取，得到键值对后用jq提取密钥值。我希望后续用这个值更新文件，但直接使用会导致密钥在GitHub日志中暴露。目前我用::add-mask::隐藏密钥，但代码冗余，也不确定这是不是安全的实践，想知道更优的实现方案。我已经实现了一套可行方案（代码如下），能隐藏密钥并更新XML文件，但代码太冗余，希望了解其他更好的方法。

现有实现代码 #

- name: Get Secrets from AWS Secrets Manager
  id: get_secrets
  run: |
    mgr_pwd=$(aws secretsmanager get-secret-value --secret-id secretId --query SecretString --output text | jq .password | tr -d '"')
    echo "::add-mask::${mgr_pwd}"
    echo mgr_pwd="$mgr_pwd" >> $GITHUB_OUTPUT

- name: Update secrets in config.properties
  run: |
    xmlstarlet ed --inplace -u '/properties/entry[@key="password"]' -v ${{ steps.get_secrets.outputs.mgr_pwd }} ../config/config-properties.xml 

1. 简化密钥提取逻辑 #

用jq -r参数直接输出无引号的原始字符串，省去tr -d '"'的步骤，同时合并掩码和输出操作，减少冗余：

- name: 获取AWS Secrets Manager密钥
  id: get_secrets
  run: |
    # 一步提取密钥并写入输出变量
    echo "mgr_pwd=$(aws secretsmanager get-secret-value --secret-id secretId --query 'SecretString' --output text | jq -r '.password')" >> $GITHUB_OUTPUT
    # 从输出变量读取值并添加掩码
    echo "::add-mask::${{ steps.get_secrets.outputs.mgr_pwd }}"

2. 使用官方AWS Secrets Manager Action（推荐） #

无需手动编写aws-cli命令，官方Action会自动处理密钥解析、掩码和环境变量注入，更安全且代码更简洁：

- name: 获取AWS Secrets Manager密钥
  uses: aws-actions/aws-secretsmanager-get-secrets@v2
  with:
    secret-ids: secretId
    parse-json: true
  env:
    AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
    AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
    AWS_REGION: us-east-1 # 替换为你的AWS区域

- name: 更新XML配置文件
  run: |
    xmlstarlet ed --inplace -u '/properties/entry[@key="password"]' -v ${{ env.secretId_password }} ../config/config-properties.xml

这个Action会自动将密钥中的password字段解析为环境变量secretId_password，并且默认对敏感值添加掩码，无需手动调用::add-mask::，完全符合安全最佳实践。

3. 更严谨的命令行参数传递方式（可选） #

如果担心命令行参数可能泄露（虽然GitHub会自动掩码，但极端场景下可采用），可以将密钥写入临时文件再读取：

- name: 更新XML配置文件
  run: |
    # 将密钥写入临时文件
    echo "${{ steps.get_secrets.outputs.mgr_pwd }}" > /tmp/secret.tmp
    # 从临时文件读取值更新配置
    xmlstarlet ed --inplace -u '/properties/entry[@key="password"]' -v "$(cat /tmp/secret.tmp)" ../config/config-properties.xml
    # 删除临时文件
    rm /tmp/secret.tmp

• 手动调用::add-mask::是安全的，GitHub会在所有日志中把掩码值替换为***，不会泄露明文。
• 优先使用官方维护的Action，减少手动处理敏感数据的代码，降低人为失误风险。
• 避免在工作流步骤中直接打印敏感值，确保所有涉及密钥的操作都不会产生明文输出。

内容的提问来源于stack exchange，提问作者DumbCoder