作为管理员，如何在全局管理仓库中引用应用仓库的GitHub Secrets？

GitHub默认不允许跨仓库直接读取其他仓库的Secrets，以下是几种可行的实现方案：

方案1：使用组织级共享Secrets（推荐，适用于同组织仓库） #

如果应用仓库和全局管理仓库同属一个GitHub组织，可以将需要共享的Secret升级为组织级Secret：

• 进入组织的「Settings」→「Secrets and variables」→「Actions」
• 创建新的组织Secret，在「Repository access」选项中，选择允许应用仓库和全局管理仓库访问该Secret
• 完成后，全局管理仓库的工作流可直接通过${{ secrets.ORG_SECRET_NAME }}引用该Secret

方案2：通过应用仓库工作流触发全局管理仓库工作流并传递Secret #

通过应用仓库的工作流主动调用全局管理仓库的工作流，将Secret作为输入参数传递：

1. 在全局管理仓库创建可被外部调用的工作流
   新建/.github/workflows/global-workflow.yml，定义接受外部输入的工作流：

   name: 全局管理工作流
   on:
     workflow_dispatch:
       inputs:
         app_secret:
           description: 来自应用仓库的Secret
           required: true
   jobs:
     execute-task:
       runs-on: ubuntu-latest
       steps:
         - name: 使用应用仓库Secret执行操作
           run: |
             # 这里编写需要用到Secret的命令，比如调用API、执行脚本等
             echo "已获取应用仓库Secret：${{ github.event.inputs.app_secret }}"
   

2. 在应用仓库配置触发工作流
   新建/.github/workflows/trigger-global.yml，调用全局管理仓库的工作流并传入Secret：

   name: 触发全局管理工作流
   on:
     # 可根据需求设置触发事件，比如push、手动触发等
     workflow_dispatch:
   jobs:
     trigger:
       runs-on: ubuntu-latest
       steps:
         - name: 调用全局工作流
           uses: actions/github-script@v7
           with:
             script: |
               await github.rest.actions.createWorkflowDispatch({
                 owner: '你的组织/用户名',
                 repo: '全局管理仓库名称',
                 workflow_id: 'global-workflow.yml',
                 ref: 'main', // 全局管理仓库的目标分支
                 inputs: {
                   app_secret: '${{ secrets.应用仓库中的Secret名称 }}'
                 }
               })
             github-token: ${{ secrets.跨仓库调用PAT }}
   

   注意：需要提前创建一个具备两个仓库repo权限的Personal Access Token（PAT），将其存入应用仓库的Secrets中（命名为跨仓库调用PAT）。

方案3：通过外部存储中转（复杂度较高，不推荐） #

GitHub API不允许直接读取其他仓库Secret的明文，可通过应用仓库工作流将Secret加密后存入外部存储服务（如AWS Secrets Manager、HashiCorp Vault），再由全局管理仓库的工作流从外部存储读取。这种方式需要额外维护外部服务，仅适用于特殊场景。

内容的提问来源于stack exchange，提问作者wehelpdox