如何在不暴露.env文件的前提下通过GitHub流水线部署Node.js应用

方案1：用AWS Elastic Beanstalk环境变量替代.env #

• 登录AWS控制台，找到你的Elastic Beanstalk环境，进入配置→软件→环境属性
• 把.env文件里的所有键值对（比如MONGODB_URI）添加到环境属性中，键名和.env里保持一致
• 修改Node.js代码，直接通过process.env.MONGODB_URI读取变量，不需要依赖dotenv加载.env文件（如果之前用了dotenv，保留也没问题，Beanstalk的环境变量会覆盖本地.env的内容）

方案2：通过GitHub Secrets在流水线中生成临时.env文件 #

• 进入你的GitHub仓库，打开Settings→Secrets and variables→Actions，添加所有需要的.env变量（比如MONGODB_URI），变量名和.env里一致
• 修改GitHub流水线配置文件（通常是.github/workflows/deploy.yml），在部署步骤前添加生成.env的命令：

  jobs:
    deploy:
      runs-on: ubuntu-latest
      steps:
        - name: Checkout code
          uses: actions/checkout@v4
        # 新增步骤：生成.env文件
        - name: Create .env file
          run: |
            echo "MONGODB_URI=${{ secrets.MONGODB_URI }}" >> .env
            # 按需添加其他变量，比如echo "API_KEY=${{ secrets.API_KEY }}" >> .env
        # 后续部署步骤不变
        - name: Deploy to Elastic Beanstalk
          uses: einaregilsson/beanstalk-deploy@v21
          with:
            aws_access_key: ${{ secrets.AWS_ACCESS_KEY_ID }}
            aws_secret_key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
            application_name: your-app-name
            environment_name: your-env-name
            version_label: ${{ github.sha }}
            region: your-aws-region
            deployment_package: dist.zip
  

• 流水线运行时会临时生成.env文件，随代码一起部署到Beanstalk，不会提交到GitHub仓库

方案3：用AWS Secrets Manager存储敏感凭证（生产环境推荐） #

• 登录AWS控制台，进入Secrets Manager，创建新密钥，把MongoDB的凭证（比如URI、用户名密码）以JSON格式存入，密钥ID设为易识别的名称（比如mongodb/prod-credentials）
• 修改Node.js应用代码，通过AWS SDK读取Secrets Manager里的凭证：

  const { SecretsManagerClient, GetSecretValueCommand } = require("@aws-sdk/client-secrets-manager");
  
  const secretsClient = new SecretsManagerClient({ region: "你的AWS区域" });
  
  async function getMongoDbUri() {
    try {
      const command = new GetSecretValueCommand({
        SecretId: "mongodb/prod-credentials"
      });
      const response = await secretsClient.send(command);
      const secret = JSON.parse(response.SecretString);
      return secret.MONGODB_URI;
    } catch (err) {
      console.error("Failed to fetch MongoDB credentials:", err);
      throw err;
    }
  }
  
  // 在连接数据库时使用获取到的URI
  getMongoDbUri().then(uri => {
    mongoose.connect(uri);
  });
  

• 给Elastic Beanstalk实例的IAM角色添加secretsmanager:GetSecretValue权限，确保应用能访问Secrets Manager中的密钥

内容的提问来源于stack exchange，提问作者Infinite Learner