Github Actions可重用工作流Secrets传递为空问题排查求助

可能的原因及对应解决方法 #

1. 可重用工作流调用时的Secrets传递语法错误 #

在领域工作流仓库调用核心DevOps工作流时，必须将Secrets放在secrets块下传递，而非with块（with用于普通参数）。错误的传递方式会直接导致Secrets为空。

正确示例：

jobs:
  invoke-core-workflow:
    uses: <core-repo-owner>/core-devops-repo/.github/workflows/core-workflow.yml@main
    secrets:
      AWS_ACCESS_KEY: ${{ secrets.AWS_ACCESS_KEY }}
      AWS_SECRET_KEY: ${{ secrets.AWS_SECRET_KEY }}

2. 核心DevOps工作流未声明接收Secrets的参数 #

核心工作流必须提前定义接收Secrets的输入参数，否则无法正确接收传递的值。需要在核心工作流的inputs中添加敏感参数定义：

inputs:
  AWS_ACCESS_KEY:
    required: true
    type: string
    sensitive: true # 标记为敏感，避免日志泄露
  AWS_SECRET_KEY:
    required: true
    type: string
    sensitive: true

3. Secrets名称大小写或拼写不匹配 #

GitHub Secrets名称是大小写敏感的，检查领域仓库中Secrets的名称（如AWS_ACCESS_KEY）与工作流中引用的名称是否完全一致，避免因拼写错误导致读取为空。

4. 环境Secrets未关联工作流环境 #

如果将Secrets存储在领域仓库的环境中，必须在工作流的作业中明确关联该环境，否则无法读取环境级Secrets：

jobs:
  invoke-core-workflow:
    environment: production # 关联目标环境
    uses: <core-repo-owner>/core-devops-repo/.github/workflows/core-workflow.yml@main
    secrets:
      AWS_ACCESS_KEY: ${{ secrets.AWS_ACCESS_KEY }}
      AWS_SECRET_KEY: ${{ secrets.AWS_SECRET_KEY }}

5. 跨仓库调用的权限缺失（罕见但需排查） #

微服务仓库触发领域工作流时，用于触发的令牌（如GITHUB_TOKEN或个人访问令牌）需具备workflow权限，确保能正常触发领域仓库的工作流。如果令牌权限不足，可能导致工作流执行时无法读取Secrets。

替代方案 #

1. 组织级Secrets统一管理 #

若多个领域仓库需使用相同Secrets，可将Secrets存储在GitHub组织级别，所有归属该组织的仓库均可直接引用，避免重复配置，传递方式与仓库级Secrets一致。

2. 环境Secrets配合审批机制 #

在领域仓库创建专属环境，将Secrets存储到环境中，工作流触发时关联该环境并配置审批环节，既保证Secrets安全传递，又增加了发布的可控性。

3. 工作流模板替代可重用工作流 #

工作流模板会直接复制到调用仓库的工作流文件中，可直接使用调用仓库的Secrets，无需跨仓库传递。缺点是模板更新后需手动同步各仓库的工作流文件，维护成本较高。

内容的提问来源于stack exchange，提问作者Hubert Bratek