如何在GitHub仓库隐藏cert文件夹但让GitHub Actions运行时可访问？

以下几种方法可以替代逐个文件设置GitHub Secret的繁琐操作：

方案1：打包加密整个文件夹为单个Secret #

将整个cert文件夹打包加密后，存储为一个GitHub Secret，Workflow运行时解密解压即可恢复完整文件夹，只需维护2个Secret（加密后的归档文件、解密密码）：

1. 本地操作：

   • 打包文件夹：

     zip -r cert.zip cert/
     

   • 用AES-256加密打包文件（替换YOUR_STRONG_PASSWORD为自定义密码）：

     openssl enc -aes-256-cbc -salt -in cert.zip -out cert.zip.enc -k YOUR_STRONG_PASSWORD
     

   • 将加密文件转为Base64编码（避免特殊字符导致Secret存储异常）：

     base64 cert.zip.enc > cert.zip.enc.b64
     

   • 把cert.zip.enc.b64文件的全部内容复制到GitHub仓库的Secret中，命名为CERT_ARCHIVE_ENC；同时将YOUR_STRONG_PASSWORD存入另一个Secret，命名为CERT_DECRYPT_PWD。

2. Workflow中的恢复步骤：
   在Workflow的job里添加以下步骤：

   - name: Restore cert folder
     run: |
       echo "$CERT_ARCHIVE_ENC" > cert.zip.enc.b64
       base64 -d cert.zip.enc.b64 > cert.zip.enc
       openssl enc -d -aes-256-cbc -in cert.zip.enc -out cert.zip -k "$CERT_DECRYPT_PWD"
       unzip cert.zip
       rm cert.zip cert.zip.enc cert.zip.enc.b64
     env:
       CERT_ARCHIVE_ENC: ${{ secrets.CERT_ARCHIVE_ENC }}
       CERT_DECRYPT_PWD: ${{ secrets.CERT_DECRYPT_PWD }}
   

方案2：用脚本批量创建单个文件的Secret #

如果仍需要单独管理每个证书文件的Secret，可以用GitHub CLI写个脚本一键批量创建，避免手动逐个操作：

1. 前提：已安装并登录GitHub CLI（gh auth login完成认证）。
2. 执行脚本：

   # 遍历cert文件夹下的所有文件
   for file in cert/*; do
     # 生成符合Secret命名规范的名称（转大写、替换连字符为下划线）
     secret_name=$(basename "$file" | tr '[:lower:]-' '[:upper:]_')
     # 将文件内容存入对应Secret
     gh secret set "$secret_name" < "$file"
   done
   

   运行后，每个文件会自动创建对应的Secret（比如ca-cert.pem对应CA_CERT_PEM），后续Workflow中直接调用这些Secret写入文件即可。

方案3：使用GitHub Environments（可选） #

如果不同环境（测试/生产）需要不同的证书文件，可以将证书相关的Secret归类到特定Environment中，既简化Secret管理，也能实现环境隔离。只需在Workflow中指定使用对应的Environment即可访问该组Secret。

内容的提问来源于stack exchange，提问作者Rani Giterman