从Azure DevOps迁移至GitHub Actions：读取密钥文件中的密钥

核心思路 #

GitHub Actions没有直接对应Azure DevOps Secure Files的功能，但可以通过将密钥文件转成Base64字符串存储到GitHub Secrets，再在工作流中解码还原文件的方式，完全适配你原有的Gradle读取逻辑，且支持多仓库复用。

具体步骤 #

1. 将密钥文件转为Base64并存储到组织级Secrets

   • 本地终端执行命令，把你的密钥文件（比如gradle-key.properties）转成Base64字符串：

     # macOS/Linux
     base64 -i gradle-key.properties
     
     # Windows（PowerShell）
     [Convert]::ToBase64String([IO.File]::ReadAllBytes("gradle-key.properties"))
     

   • 复制输出的Base64字符串，到GitHub组织的Settings > Secrets and variables > Actions页面，创建一个组织级Secret（命名比如KEY_FILE_BASE64），粘贴字符串保存。组织级Secret可被旗下所有授权仓库复用，避免逐个仓库配置。

2. 在GitHub Actions工作流中还原密钥文件并设置环境变量
   在你的工作流YAML文件中添加还原密钥文件的步骤，同时设置和原Azure DevOps一致的KEY_FILE_PATH环境变量，确保Gradle代码无需修改：

   name: Gradle Build
   on: [push, pull_request]
   
   jobs:
     build:
       runs-on: ubuntu-latest
       steps:
         - uses: actions/checkout@v4
         
         # 还原密钥文件并设置环境变量
         - name: Restore secure key file
           run: |
             # 将Base64解码为密钥文件，可自定义文件路径
             echo "${{ secrets.KEY_FILE_BASE64 }}" | base64 --decode > ./gradle-key.properties
             # 设置环境变量，和原代码中的ENV_KEY_FILE_PATH对应
             echo "KEY_FILE_PATH=./gradle-key.properties" >> $GITHUB_ENV
         
         - name: Set up JDK
           uses: actions/setup-java@v4
           with:
             java-version: '17'
             distribution: 'temurin'
         
         - name: Execute Gradle build
           run: ./gradlew build
   

3. 原Gradle代码直接复用
   你提供的settings.gradle代码无需任何修改，因为工作流中设置的KEY_FILE_PATH环境变量会被System.getenv(ENV_KEY_FILE_PATH)读取，后续的Properties加载逻辑完全和Azure DevOps环境一致。

多仓库复用注意事项 #

• 进入目标仓库的Settings > Actions > General页面，在Access to organization secrets部分，确保允许该仓库使用你创建的组织级KEY_FILE_BASE64 Secret。
• 若不同仓库需要不同密钥文件，可创建多个组织级Secret（如PROJECT_X_KEY_FILE_BASE64），在对应仓库的工作流中引用即可。

内容的提问来源于stack exchange，提问作者user264953