如何在GitHub Actions中动态引用用户专属Azure DevOps Token密钥？

GitHub Actions的表达式解析是预编译机制——也就是在工作流启动运行前，就会把${{ ... }}包裹的内容全部解析完成。而你通过步骤生成的处理后用户名是运行时动态产生的，所以没法用表达式直接动态引用secrets。之前测试里固定用户名能生效，是因为它是静态值，预编译阶段就能匹配到对应的secret；动态传入的变量在预编译时还不存在，自然返回空值。

换用GitHub CLI（gh）在运行时动态读取仓库secret，避开预编译限制，具体步骤如下：

1. 统一用户名格式 #

将触发者的GitHub用户名中的连字符替换为下划线，再转为大写，拼接固定后缀生成对应的secret名称（比如john-doe → JOHN_DOE_AZURE_DEVOPS_TOKEN）。

2. 用gh CLI读取secret #

仓库默认的GITHUB_TOKEN没有读取仓库secrets的权限，需要提前创建一个带有repo权限的个人访问令牌（PAT），存入仓库secret并命名为GH_CLI_TOKEN，供gh CLI调用。

3. 传递令牌给Azure DevOps Action #

将获取到的令牌存入步骤输出，供后续调用Azure DevOps流水线的Action使用。

on: workflow_dispatch

jobs:
  trigger-azure-pipeline:
    runs-on: ubuntu-latest
    steps:
      - name: 处理用户名生成secret名称
        id: format-username
        run: |
          # 替换连字符为下划线、转大写、拼接后缀
          SECRET_NAME=$(echo "${{ github.actor }}" | tr '-' '_' | tr '[:lower:]' '[:upper:]')_AZURE_DEVOPS_TOKEN
          echo "secret_name=$SECRET_NAME" >> "$GITHUB_OUTPUT"

      - name: 获取用户的Azure DevOps令牌
        id: fetch-token
        env:
          GH_TOKEN: ${{ secrets.GH_CLI_TOKEN }}
          TARGET_SECRET: ${{ steps.format-username.outputs.secret_name }}
        run: |
          # 使用gh CLI读取指定secret
          DEVOPS_TOKEN=$(gh secret view "$TARGET_SECRET" --repo ${{ github.repository }})
          echo "devops_token=$DEVOPS_TOKEN" >> "$GITHUB_OUTPUT"

      - name: 调用Azure DevOps流水线
        uses: azure/pipelines@v1
        with:
          azure-devops-token: ${{ steps.fetch-token.outputs.devops_token }}
          # 补充你的流水线必填参数，例如：
          # azure-pipeline-name: "你的流水线名称"
          # azure-devops-project-url: "https://dev.azure.com/你的组织/项目名/"

• 团队成员配置要求：每个成员需要在仓库中创建符合格式的secret，比如用户名jane-smith需创建JANE_SMITH_AZURE_DEVOPS_TOKEN，并填入自己的Azure DevOps个人访问令牌。
• 安全性保障：gh secret view的输出会被GitHub自动屏蔽，后续步骤引用令牌时也会被标记为敏感数据，不会在日志中明文泄露。

内容的提问来源于stack exchange，提问作者Drifter104