能否从仓库环境机密中引用GitHub组织级机密？

可行，有两种主流方案可以满足你的需求：

方案一：组织级环境机密（最接近CircleCI Contexts） #

GitHub支持在组织层面创建环境并配置机密，再将多个仓库关联到这些组织环境，让仓库的Workflow能直接引用统一命名的机密，自动匹配对应环境的值：

1. 创建组织级环境：
   进入组织的Settings → Environments，分别创建production和staging环境。
2. 添加环境机密：
   给每个组织环境添加同名机密，比如在production环境中设置AWS_KEY为生产密钥，staging环境中设置AWS_KEY为预发布密钥。
3. 配置仓库访问权限：
   在每个组织环境的「Deployment branches/tags」设置里，选择允许访问的仓库（可指定特定仓库或所有仓库）。
4. Workflow中引用：
   仓库的Workflow只需指定环境名称，就能直接引用统一的机密变量：

   jobs:
     deploy:
       environment: production # 切换为staging即可使用预发布机密
       steps:
         - name: 使用机密
           run: echo ${{ secrets.AWS_KEY }}
   

   这种方式不仅能共享机密，还能利用环境的额外特性，比如部署审批、分支限制等。

方案二：组织级前缀机密+动态映射 #

如果不需要环境的管控特性，也可以用带环境前缀的组织级机密，通过Workflow动态匹配：

1. 创建组织级前缀机密：
   在组织Settings → Secrets and variables → Actions里，创建PROD_AWS_KEY（生产值）和STAGING_AWS_KEY（预发布值）。
2. Workflow中动态引用：
   根据当前分支或触发条件自动匹配对应的机密：

   jobs:
     deploy:
       env:
         # 根据分支判断环境，main分支用生产，其他用预发布
         ENV_TYPE: ${{ github.ref == 'refs/heads/main' && 'PROD' || 'STAGING' }}
       steps:
         - name: 使用机密
           run: echo ${{ secrets[format('{0}_AWS_KEY', env.ENV_TYPE)] }}
   

   这种方式更轻量化，适合不需要复杂环境管控的场景。

内容的提问来源于stack exchange，提问作者Hawler