GitHub Actions：从YAML文件读取Secrets名称后无法获取密钥值

GitHub Actions 的 Secrets 解析仅在 Workflow YAML 初始解析阶段完成。你之前的做法是把secrets.AZURE_ID这类字符串写入环境变量，这个字符串不会被二次解析为实际的 Secret 值，最终只会被当作普通文本处理，所以后续引用时变量为空。

方案一：分支匹配直接映射 Secrets（最简单） #

直接在 Workflow 中通过分支判断动态赋值，让 GitHub 在解析阶段直接替换 Secrets 值：

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 拉取代码
        uses: actions/checkout@v4

      - name: 根据分支设置环境变量
        run: |
          case "${{ github.ref_name }}" in
            main)
              echo "INTERM_username=${{ secrets.MAIN_USERNAME }}" >> "$GITHUB_ENV"
              echo "INTERM_password=${{ secrets.MAIN_PASSWORD }}" >> "$GITHUB_ENV"
              ;;
            dev)
              echo "INTERM_username=${{ secrets.DEV_USERNAME }}" >> "$GITHUB_ENV"
              echo "INTERM_password=${{ secrets.DEV_PASSWORD }}" >> "$GITHUB_ENV"
              ;;
            staging)
              echo "INTERM_username=${{ secrets.STAGING_USERNAME }}" >> "$GITHUB_ENV"
              echo "INTERM_password=${{ secrets.STAGING_PASSWORD }}" >> "$GITHUB_ENV"
              ;;
          esac

      - name: 验证变量
        run: |
          echo "Username: $INTERM_username"
          echo "Password: $INTERM_password"

方案二：配置文件存 Secret 名称，动态引用 #

如果需要用config.yml管理分支与 Secret 名称的映射，可以通过步骤输出+动态索引 Secrets 的方式实现：

1. 先编写config.yml：

branch_secrets:
  main:
    username: MAIN_USERNAME
    password: MAIN_PASSWORD
  dev:
    username: DEV_USERNAME
    password: DEV_PASSWORD

2. 在 Workflow 中读取配置并动态引用 Secrets：

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 拉取代码
        uses: actions/checkout@v4

      - name: 安装 jq 工具
        run: sudo apt-get install -y jq

      - name: 从配置文件获取 Secret 名称
        id: get_secret_names
        run: |
          BRANCH="${{ github.ref_name }}"
          USER_SECRET=$(jq -r ".branch_secrets.${BRANCH}.username" config.yml)
          PASS_SECRET=$(jq -r ".branch_secrets.${BRANCH}.password" config.yml)
          echo "user_secret=$USER_SECRET" >> "$GITHUB_OUTPUT"
          echo "pass_secret=$PASS_SECRET" >> "$GITHUB_OUTPUT"

      - name: 设置环境变量
        run: |
          echo "INTERM_username=${{ secrets[steps.get_secret_names.outputs.user_secret] }}" >> "$GITHUB_ENV"
          echo "INTERM_password=${{ secrets[steps.get_secret_names.outputs.pass_secret] }}" >> "$GITHUB_ENV"

      - name: 验证变量
        run: |
          echo "Username: $INTERM_username"
          echo "Password: $INTERM_password"

核心逻辑是用secrets[secret_name]的动态索引语法，让 GitHub 在解析步骤时根据名称读取对应 Secret 值。

方案三：Python 脚本配合预传 Secrets #

如果必须用 Python 处理逻辑，可以先让 Workflow 把所有可能用到的 Secrets 传入环境变量，再由脚本根据分支匹配取值：

1. Workflow 配置：

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 拉取代码
        uses: actions/checkout@v4

      - name: 传递所有 Secrets 到环境变量
        env:
          MAIN_USERNAME: ${{ secrets.MAIN_USERNAME }}
          MAIN_PASSWORD: ${{ secrets.MAIN_PASSWORD }}
          DEV_USERNAME: ${{ secrets.DEV_USERNAME }}
          DEV_PASSWORD: ${{ secrets.DEV_PASSWORD }}
        run: python set_env.py

      - name: 验证变量
        run: |
          echo "Username: $INTERM_username"
          echo "Password: $INTERM_password"

2. set_env.py脚本：

import yaml
import os

# 加载配置文件
with open("config.yml", "r") as f:
    config = yaml.safe_load(f)

# 获取当前分支
current_branch = os.environ.get("GITHUB_REF_NAME")
secret_map = config["branch_secrets"][current_branch]

# 从环境变量中取出对应 Secret 值
username = os.environ.get(secret_map["username"])
password = os.environ.get(secret_map["password"])

# 写入 GITHUB_ENV
with open(os.environ.get("GITHUB_ENV"), "a") as f:
    f.write(f"INTERM_username={username}\n")
    f.write(f"INTERM_password={password}\n")

内容的提问来源于stack exchange，提问作者Hasib Ul Alam