GitHub Action跨Job共享Installation Token复用失败问题排查

问题根源 #

你遇到的情况是因为：通过tibdex/github-app-token生成的Token属于敏感数据，GitHub Actions有安全机制，默认会过滤未标记为敏感输出的敏感内容，导致跨Job传递时输出为空；而静态字符串test_var不属于敏感数据，所以能正常传递。

修复方案 #

只需要在生成Token的Job输出定义里，把installation_token标记为敏感输出即可：

1. 修改validate Job的输出配置 #

将原来的outputs部分修改为：

outputs:
  installation_token: 
    value: ${{ steps.get_installation_token.outputs.token }}
    secret: true
  test_var: "Hello"

这里的secret: true是关键，告诉GitHub这个输出是敏感数据，需要保留并脱敏处理。

2. 无需修改接收Job的代码 #

plan Job里的引用代码不用改，运行后日志中会显示***（代表Token已正常传递且脱敏），而不是空值。

完整修改后的Workflow代码 #

on:
  pull_request:
    types:
      - opened
    branches:
      - master
    paths:
      - 'terraform/**'
  workflow_dispatch:

jobs:
  validate:
    needs:
      - fmt-check
    runs-on: ubuntu-latest
    name: terraform validate

    outputs:
      installation_token: 
        value: ${{ steps.get_installation_token.outputs.token }}
        secret: true
      test_var: "Hello"

    steps:
      - name: Checkout
        uses: actions/checkout@v3

      - name: Generate token
        uses: tibdex/github-app-token@v1
        id: get_installation_token
        with: 
          app_id: ${{ secrets.APP_ID }}
          private_key: ${{ secrets.PRIVATE_KEY }}

  plan:
    needs:
      - validate
    runs-on: ubuntu-latest
    name: terraform plan

    steps:
      - name: Checkout
        uses: actions/checkout@v3

      - run: echo "${{ needs.validate.outputs.installation_token }}"
      - run: echo "${{ needs.validate.outputs.test_var }}"

额外说明 #

• GitHub Actions会自动识别敏感数据特征（比如Token、密钥类字符串），未标记为secret的敏感输出会被强制过滤为空，这是安全防护的默认行为。
• 标记为secret的输出在后续Job中使用时，既可以正常传递给其他步骤/动作，又会在日志中自动脱敏为***，避免敏感数据泄露。

内容的提问来源于stack exchange，提问作者Rio