在GitHub Workflow中向Gradle任务传递Secret的最佳实践是什么？

1. 别直接在命令行传Secret（当前写法的风险） #

你现在直接把-DMY_PASSWORD=${{secrets.PASSWORD}}写在run命令里，虽然GitHub会自动屏蔽日志里的Secret值，但如果Gradle任务不小心把系统属性打出来，还是有泄露风险，而且这种写法也不够规范。

2. 用环境变量传递（最推荐的方式） #

步骤级环境变量 #

把Secret注入到当前步骤的环境变量里，Gradle脚本里直接读环境变量就行，不用在命令行显式传参数：

- name: Call my Gradle Task
  env:
    MY_PASSWORD: ${{ secrets.PASSWORD }}
  run: .\gradlew :myGradleTaskName

Gradle里这么读取：

// build.gradle
def myPassword = System.getenv("MY_PASSWORD")
// 或者用Gradle的安全API，避免空指针问题
def myPassword = providers.environmentVariable("MY_PASSWORD").get()

作业/全局级环境变量 #

如果多个步骤都要用这个Secret，可以把它定义在作业或者全局的env里：

jobs:
  my-job:
    runs-on: [self-hosted]
    env:
      USERNAME: myUserName
      MY_PASSWORD: ${{ secrets.PASSWORD }}
    steps:
      - name: Checkout project sources
        uses: actions/checkout@v3

      - name: Call my Gradle Task
        run: .\gradlew :myGradleTaskName

3. 用Gradle属性文件（适合敏感配置集中管理） #

可以临时生成gradle.properties文件，把Secret写进去，让Gradle自动读取：

- name: 生成Gradle属性文件
  run: |
    echo "my.password=${{ secrets.PASSWORD }}" >> gradle.properties
- name: 执行Gradle任务
  run: .\gradlew :myGradleTaskName

Gradle里读取属性：

// build.gradle
def myPassword = project.findProperty("my.password")

注意：如果用的是自托管 runner，一定要在任务结束后删掉这个临时文件，防止Secret留在机器上：

- name: 清理属性文件
  if: always()
  run: Remove-Item gradle.properties -ErrorAction SilentlyContinue

4. 绝对别在Gradle日志里打印Secret #

不管用哪种方式传递，都要确保Gradle任务里不会输出Secret值。比如别写println("密码：$myPassword")，换成println("密码已提供：****")这种占位符输出。

5. 给Secret设置最小权限 #

在GitHub仓库的Secrets设置里，尽量给Secret配置最小权限：比如只开放给需要的Workflow分支使用，仓库级Secret就别设成组织级的，减少泄露风险。

内容的提问来源于stack exchange，提问作者Jayakrishna