GitHub复合动作与可重用工作流的秘钥处理差异问询

1. 参数类型的强制区分 #

• 复合动作：密钥通过inputs参数传递，和普通输入参数无语法层面的强制区分，示例代码：

name: Composite Action
description: 'test'
inputs:
  token:
    description: 'A Github PAT'
    required: true

• 可重用工作流：必须通过secrets字段定义并传递密钥，无法用inputs接收密钥（尝试传入会直接失效），示例代码：

name: Reusable Workflow
on:
  workflow_call:
    inputs:
      ...
    secrets:
      token:
        required: true

2. 设计目的与安全特性 #

你猜测的“让密钥更明确”是核心设计原因，除此之外还有这些关键优势：

• 日志自动屏蔽：GitHub会对secrets做专门处理，在工作流日志中自动屏蔽密钥内容；而复合动作的inputs参数没有这个特性，若不小心将输入的密钥打印到日志，会直接导致泄露。
• 权限边界清晰：可重用工作流接收的secrets，权限范围由调用方控制（调用方只能传递自身有权访问的密钥），而复合动作的inputs无专门权限校验，完全依赖开发者自行把控。

3. 密钥管理的优化方向 #

针对多仓库调用可重用工作流的密钥分散问题，可通过以下方式优化：

• 组织级密钥：在GitHub组织层面创建密钥，下属所有仓库均可访问，无需每个仓库单独配置，调用时直接传递该组织级密钥即可。
• 统一引用配置：各仓库的调用工作流中只需统一配置密钥的引用，不用重复编写密钥内容，减少维护成本。

内容的提问来源于stack exchange，提问作者diablo1234