GitHub Actions中添加DOCKER_BUILDKIT=1触发YAML语法错误

问题根源分析 #

你的工作流出现YAML语法错误，核心原因有两个：

1. docker build的--secret参数格式错误：Docker BuildKit的--secret参数必须明确指定id和src/env属性，你当前的--secret service-account-json-key写法不符合规范，不仅会导致Docker命令执行失败，还可能触发YAML解析器的语法检测报错。
2. 冗余的环境变量设置：使用docker/setup-buildx-action@v2后，BuildKit已经默认启用，无需在run命令前手动添加DOCKER_BUILDKIT=1，这种写法也可能引发YAML的符号解析问题。

修正后的工作流代码 #

以下是两种规范的修正方案，根据你的密钥存储方式选择：

方案1：将GitHub Secrets写入文件后引用

build_and_push_docker_image_from_artifact:
  needs: build
  name: Build/Push Image -> GitHub Container Registry
  runs-on: ubuntu-latest
  steps:
    - uses: actions/checkout@v3
    - uses: actions/download-artifact@v3
      with:
        name: dist-artifact
        path: app
    - uses: docker/setup-buildx-action@v2
    # 将GitHub Secrets写入本地文件
    - run: echo "${{ secrets.SERVICE_ACCOUNT_JSON_KEY }}" > service-account.json
    # 正确格式使用--secret参数
    - run: docker build --secret id=service-account-json-key,src=service-account.json -t ghcr.io/xxxxx/xxxxx-database:latest -f docker/database.Dockerfile .

方案2：通过环境变量传递密钥

build_and_push_docker_image_from_artifact:
  needs: build
  name: Build/Push Image -> GitHub Container Registry
  runs-on: ubuntu-latest
  # 定义环境变量存储密钥
  env:
    SERVICE_ACCOUNT_JSON_KEY: ${{ secrets.SERVICE_ACCOUNT_JSON_KEY }}
  steps:
    - uses: actions/checkout@v3
    - uses: actions/download-artifact@v3
      with:
        name: dist-artifact
        path: app
    - uses: docker/setup-buildx-action@v2
    # 通过env引用环境变量作为secret
    - run: docker build --secret id=service-account-json-key,env=SERVICE_ACCOUNT_JSON_KEY -t ghcr.io/xxxxx/xxxxx-database:latest -f docker/database.Dockerfile .

额外优化点 #

• 将name字段中的=>替换为->，避免部分YAML解析器对特殊符号的敏感检测；
• 所有run命令如果包含特殊字符，建议用双引号包裹（比如run: "docker build ..."），进一步降低YAML解析风险。

内容的提问来源于stack exchange，提问作者PositiveGuy