如何将GitHub环境中的密钥传递给可复用工作流？

方法1：将环境配置移至可复用工作流内部 #

你可以在可复用工作流中通过输入参数接收环境名称，然后在工作流的job里配置environment字段，同时利用GitHub Environments的密钥映射能力——确保不同环境下都配置同名密钥，这样可复用工作流就能统一使用密钥名称，无需在调用时传递具体密钥。

可复用工作流（./.github/workflows/reusable-workflow.yml）示例：

on:
  workflow_call:
    inputs:
      environment-name:
        type: string
        required: true

jobs:
  core-task:
    runs-on: ubuntu-latest
    environment: ${{ inputs.environment-name }}
    steps:
      - name: 使用环境密钥
        run: echo "密钥内容：${{ secrets.SOME_SUPER_SECRET }}"

调用方工作流示例：

on: push

jobs:
  run:
    uses: ./.github/workflows/reusable-workflow.yml
    with:
      environment-name: production

关键说明：提前在GitHub仓库的Environments中，给production、staging等环境都配置好名为SOME_SUPER_SECRET的密钥，切换环境时只需修改调用方的environment-name参数即可。

方法2：将可复用工作流转为复合操作 #

如果必须在调用方的job中直接指定环境，可将可复用工作流重构为复合操作（Composite Action）。复合操作作为job的步骤存在，而job本身可以正常配置environment字段，从而关联对应环境的密钥。

复合操作定义（./.github/actions/my-action/action.yml）示例：

name: '核心业务操作'
runs:
  using: 'composite'
  steps:
    - name: 使用环境密钥
      run: echo "密钥内容：${{ secrets.SOME_SUPER_SECRET }}"
      shell: bash

调用方工作流示例：

on: push

jobs:
  run:
    runs-on: ubuntu-latest
    environment: production
    steps:
      - uses: ./.github/actions/my-action

这种方式下，job关联的环境会自动提供密钥，复合操作直接使用统一的密钥名称即可，切换环境只需修改job的environment字段。

内容的提问来源于stack exchange，提问作者froblesmartin