咨询：Github Actions非环境步骤能否引用环境级变量？

核心结论 #

不能直接使用${{ vars.dev.YY }}这种语法在未关联环境的步骤中引用环境内的变量。GitHub Actions的环境级变量（vars/secrets）仅能在关联了对应环境的Job/步骤中访问，且不存在按环境名直接跨环境调用的语法。此外，只要Job关联了配置了审批规则的环境，整个Job执行前都会触发审批流程，无法绕过。

针对Terraform场景的解决方案 #

结合你需要terraform plan无需审批、terraform apply需审批，同时复用环境变量的需求，推荐以下几种可行方案：

方案1：拆分Job+仓库级变量前置存储 #

• 将各环境特有的变量（如dev的YY、prod的YY）同步到仓库级Vars中，用前缀区分（例如DEV_YY、PROD_YY）。
• 配置两个独立Job：
  • terraform-plan：不关联任何环境，通过工作流触发参数（如environment: dev）判断目标环境，读取对应前缀的仓库级变量（如${{ vars.DEV_YY }}），执行terraform plan并将plan文件上传为工作流产物（artifact）。此Job无需审批。
  • terraform-apply：关联目标环境（dev/prod），触发审批流程；审批通过后下载plan文件，直接使用当前环境的变量（${{ vars.YY }}）执行terraform apply。

方案2：利用环境的分支限制规则规避审批 #

• 给dev/prod环境配置审批规则时，添加分支例外：仅当Job由main分支触发时需要审批，其他分支触发的Job无需审批。
• 规划工作流触发逻辑：
  • terraform plan在feature分支触发，关联目标环境后不会触发审批，直接使用环境变量（${{ vars.YY }}）执行。
  • terraform apply合并到main分支后触发，关联目标环境时自动触发审批，审批通过后执行。

方案3：通过GitHub CLI拉取环境变量（需权限配置） #

• 在未关联环境的terraform-plan Job中，使用GitHub CLI拉取目标环境的变量：

  # 拉取dev环境的所有变量并导出为环境变量
  for var in $(gh variable list --env dev --repo $GITHUB_REPOSITORY --json name,value --jq '.[] | "\(.name)=\(.value)"'); do
    echo "$var" >> $GITHUB_ENV
  done
  

• 注意：需要给工作流的GITHUB_TOKEN赋予repo权限，且此方法会暴露环境变量到Job日志中（敏感变量不建议用此方法）。

内容的提问来源于stack exchange，提问作者Philipp Grigoryev