如何在.NET应用代码中使用GitHub Secrets？部署AWS Lambda遇取值为空问题

核心问题 #

GitHub Secrets仅能在GitHub Actions工作流的运行环境中直接使用，无法直接被部署到AWS Lambda的应用代码读取——因为Lambda的运行环境和GitHub Actions的执行环境完全隔离。你用echo设置的GitHubSecret环境变量，只在当前GitHub Actions的Job/步骤中有效，不会自动同步到Lambda函数里，这就是代码拿不到值的原因。

正确传递Secrets到Lambda的两种方法 #

方法1：部署时配置Lambda环境变量 #

在GitHub Actions的部署步骤中，通过AWS CLI命令将Secrets直接设置为Lambda的环境变量，这样.NET应用就能用Environment.GetEnvironmentVariable读取到：

# 针对staging环境的Lambda更新配置命令
aws lambda update-function-configuration \
  --function-name YOUR_STAGING_LAMBDA_FUNCTION_NAME \
  --environment Variables={MISC_KEY=${{ secrets.STAGING_MISC_KEY }}}

• 替换YOUR_STAGING_LAMBDA_FUNCTION_NAME为你的实际Lambda函数名
• production环境同理，替换为secrets.PRODUCTION_MISC_KEY和对应的Lambda函数名

方法2：替换配置文件后打包部署 #

如果你的.NET应用使用配置文件（比如appsettings.Staging.json），可以在GitHub Actions中替换配置文件里的占位符，再打包部署：

1. 先在appsettings.Staging.json中添加占位符：

{
  "AppSettings": {
    "MISC_KEY": "__MISC_KEY_PLACEHOLDER__"
  }
}

2. 在GitHub Actions步骤中执行替换命令：

sed -i "s/__MISC_KEY_PLACEHOLDER__/${{ secrets.STAGING_MISC_KEY }}/" appsettings.Staging.json

3. 正常打包部署应用，之后.NET应用可以通过IConfiguration读取配置值：

var miscKey = configuration["AppSettings:MISC_KEY"];

额外注意事项 #

• 避免在GitHub Actions日志中输出Secrets内容：GitHub会自动屏蔽Secrets的值，但仍需注意不要在步骤中主动打印敏感信息
• 高敏感密钥建议用AWS Secrets Manager：如果密钥敏感性极高，不要存在Lambda环境变量或配置文件中，而是让Lambda在运行时从AWS Secrets Manager拉取，安全性更高

内容的提问来源于stack exchange，提问作者Chris