如何将密钥作为环境变量传入Docker类型的GitHub Action？解决环境变量为空问题

这个问题其实是GitHub Actions中Docker Action的构建阶段和运行阶段环境隔离导致的，我来帮你拆解清楚：

核心原因 #

当你在action.yml里指定using: 'docker'和image: "Dockerfile"时，GitHub Actions会分两步执行：

1. 先构建Docker镜像：这一步是独立于Workflow运行环境的，你在Workflow里设置的env变量（包括Secrets）不会自动传递到Docker build的上下文中。你在Dockerfile里写的RUN echo "MY_SECRET: $MY_SECRET"是在镜像构建时执行的，这时候Workflow的环境变量还没被注入，所以自然是空值。
2. 再运行容器：镜像构建完成后，GitHub才会启动容器，并把Workflow里的env变量注入到容器的运行环境中。

解决方案分两种场景 #

场景1：需要在Docker构建阶段使用Secret

如果你的Secret是构建镜像时必须的（比如拉取私有依赖仓库的密钥），需要通过build-args显式传递：

1. 修改action.yml，添加构建参数：

name: "Backend"
on: [pull_request]
runs:
  using: 'docker'
  image: "Dockerfile"
  build-args:
    - MY_SECRET=${{ secrets.MY_SECRET }}

2. 在Dockerfile中用ARG声明这个参数，才能在构建阶段访问：

# 声明构建参数
ARG MY_SECRET
# 构建阶段使用（比如用于拉取私有依赖）
RUN echo "Build-time secret: $MY_SECRET" # 注意：实际不要输出Secret，避免日志泄露
# 如果需要把参数传递到容器运行阶段，再加ENV
ENV MY_SECRET=$MY_SECRET

场景2：只需要在Action运行阶段使用Secret

如果你的Secret是在容器启动后执行脚本时才需要，那完全不用在Dockerfile的RUN里访问——Workflow设置的env会自动注入到容器的运行环境中，你只需要在入口脚本（比如entrypoint.sh）里直接使用：

# entrypoint.sh 内容
echo "Runtime secret: $MY_SECRET"

确保你的Dockerfile把这个脚本设置为入口点：

COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]

额外注意事项 #

• Secrets是大小写敏感的，确认你在Workflow、action.yml和脚本里的变量名完全一致。
• 绝对不要在构建日志或运行日志中输出Secret内容，哪怕是测试用——GitHub会自动屏蔽Secrets，但手动输出仍有泄露风险。

内容的提问来源于stack exchange，提问作者Tzach