Github Actions存储带占位符kubeconfig至Secrets后无法连接K8s

问题背景 #

原本将完整kubeconfig文件存放在仓库中时，GitHub Actions可以正常连接K8s集群。现在将带${MY_APIKEY}占位符的kubeconfig存入Secrets（DEV_CLUSTER_KUBECONF），同时把MY_APIKEY单独存入Secrets，通过Actions拉取文件、替换占位符后，却无法连接集群，且kubeconfig文件内容显示为星号。

核心原因 #

1. Secrets内容被自动脱敏：直接用echo $DEV_CLUSTER_KUBECONF输出敏感内容时，GitHub会将Secrets内容替换为星号，导致kubeconfig文件内容损坏。
2. 多行格式丢失：未正确处理kubeconfig的多行YAML结构，生成的文件格式错误，kubectl无法识别。

解决方案 #

修改GitHub Actions工作流步骤，确保kubeconfig内容完整保留、占位符正确替换：

修改后的工作流代码 #

name: wfl

on:
  push:

jobs:
  j1:
    needs: build
    runs-on: ....
    container:
      image: .....
    steps:
      - name: 创建kubeconfig目录并写入文件
        run: |
          mkdir -p kubeconf
          # 双引号包裹变量，保留多行格式，避免内容被脱敏破坏
          echo "$DEV_CLUSTER_KUBECONF" > kubeconf/kubeconf.conf
        env:
          DEV_CLUSTER_KUBECONF: ${{ secrets.DEV_CLUSTER_KUBECONF }}

      - name: 替换kubeconfig中的API密钥占位符
        run: |
          # 精准指定要替换的变量，防止误替换其他$符号
          envsubst '${MY_APIKEY}' < kubeconf/kubeconf.conf > populated_kube.conf
        env:
          MY_APIKEY: ${{ secrets.MY_APIKEY }}

      - name: 设置KUBECONFIG环境变量
        run: echo "KUBECONFIG=$(pwd)/populated_kube.conf" >> $GITHUB_ENV

      - name: 验证kubeconfig格式（可选）
        run: cat populated_kube.conf

      - name: 执行kubectl命令
        run: kubectl get po

关键调整点 #

• 正确写入kubeconfig：用echo "$DEV_CLUSTER_KUBECONF"（双引号包裹变量）写入文件，完整保留YAML的多行结构，同时避免GitHub脱敏破坏内容。
• 精准替换占位符：使用envsubst '${MY_APIKEY}'仅替换目标变量，防止误操作kubeconfig中其他可能存在的$符号。
• 明确配置文件路径：用$(pwd)指定绝对路径，避免因工作目录变化导致kubectl找不到配置文件。

内容的提问来源于stack exchange，提问作者Amin Ba