GitHub Action误将非敏感输出识别为机密致工作流异常

问题 #

我有一个GitHub Action工作流任务，其中两个非敏感输出被GitHub误识别为机密：一个是github.sha的前7位字符，另一个是用uuidgen生成的随机UUID。这些输出被同工作流中的多个其他任务复用，因此无法将相关步骤移至使用它们的任务中（否则会导致代码重复）。

我收到了相关警告，当尝试从其他任务读取这些输出时，结果为空，破坏了工作流逻辑。我尝试过修改变量名称、使用nanoid生成不同格式的取值，但问题仍随机出现（有时其中一个输出正常，有时另一个正常）。

当前测试中SHOULD_REBUILD_DOCKER_IMAGES设为'true'，会跳过多个步骤，输出始终为新值。相关代码及输出如下：

输出示例 #

echo "docker_build_image_trigger=eff63***95-***ef***-***68c-9edb-***6570a8eb79c" >> $GITHUB_OUTPUT
echo "sha_short=dba69ba" >> $GITHUB_OUTPUT

步骤代码 #

steps:
  - name: Setup AWS
    if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'false'
    uses: aws-actions/configure-aws-credentials@v1
    with:
      aws-access-key-id: ${{ env.TF_VAR_AWS_ACCESS_KEY_ID }}
      aws-secret-access-key: ${{ env.TF_VAR_AWS_SECRET_ACCESS_KEY }}
      aws-region: ${{ env.TF_VAR_AWS_REGION }}

  - name: Write secrets
    if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'false'
    run: |
      aws secretsmanager get-secret-value --secret-id puck-legacy-${{ needs.get-environment-info.outputs.environment }}-secrets --output text --query SecretString >> aws-secrets.json

  - name: Get docker build image trigger
    id: docker-build-image-trigger
    if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'false'
    uses: sergeysova/jq-action@v2
    with:
      cmd: cat aws-secrets.json | jq -r .INFRA_REBUILD_TRIGGER

  - name: Get sha short
    id: sha-short
    if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'false'
    uses: sergeysova/jq-action@v2
    with:
      cmd: cat aws-secrets.json | jq -r .ACTION_CURRENT_COMMIT

  - name: nanoid
    id: nanoid
    if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'true'
    run: |
      echo "nanoid=$(npx nanoid -s 8 -a 1234567890abcdef)" >> $GITHUB_OUTPUT

  - name: Current commit
    id: current-commit
    if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'true'
    run: |
      SHA=${{ github.sha }}
      echo "hash=${SHA:0:7}" >> $GITHUB_OUTPUT

  - name: Get outputs
    id: get-outputs
    run: |
      echo "rebuild_trigger=${{ steps.docker-build-image-trigger.outcome == 'success' && steps.docker-build-image-trigger.outputs.value || steps.nanoid.outputs.nanoid }}" >> $GITHUB_OUTPUT
      echo "current_commit=${{ steps.sha-short.outcome == 'success' && steps.sha-short.outputs.value || steps.current-commit.outputs.hash }}" >> $GITHUB_OUTPUT

读取输出的任务代码 #

infrastructure:
    ...
    needs: [get-environment-info, get-dependent-info]
    env:
      ...
      TF_VAR_ACTION_CURRENT_COMMIT: ${{ needs.get-dependent-info.outputs.current_commit }}
      TF_VAR_INFRA_REBUILD_TRIGGER: ${{ needs.get-dependent-info.outputs.rebuild_trigger }}

    steps:
      - name: Job info
        run: |
          echo "TF_VAR_ACTION_CURRENT_COMMIT=${{ env.TF_VAR_ACTION_CURRENT_COMMIT }}"
          echo "TF_VAR_INFRA_REBUILD_TRIGGER=${{ env.TF_VAR_INFRA_REBUILD_TRIGGER }}"

读取结果 #

TF_VAR_ACTION_CURRENT_COMMIT=
TF_VAR_INFRA_REBUILD_TRIGGER=

请问GitHub是依据什么判定输出可能包含机密？是否有方法强制不跳过这些输出？

解答 #

GitHub判定输出为机密的依据 #

GitHub Action的机密扫描基于字符串特征匹配：

• 它会自动检测工作流中出现的所有已存储机密（仓库/环境/组织级别的secrets）的完整或片段字符组合。
• 如果你的输出值（比如UUID、短SHA）的字符组合恰好和某个机密的部分内容重合，就会被误判为机密并屏蔽为空。这种情况在机密包含随机字符串时更容易触发。

可行的解决方法 #

1. 给输出值添加非敏感前缀/后缀

通过添加固定的非敏感标识打破机密匹配特征，使用时再移除标识：
修改Current commit步骤：

- name: Current commit
  id: current-commit
  if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'true'
  run: |
    SHA=${{ github.sha }}
    echo "hash=commit-${SHA:0:7}" >> $GITHUB_OUTPUT

后续使用时去除前缀：

TF_VAR_ACTION_CURRENT_COMMIT: ${{ needs.get-dependent-info.outputs.current_commit | replace('commit-', '') }}

2. 使用工作流环境变量传递

绕过步骤输出的扫描机制，直接通过GITHUB_ENV设置工作流级变量：
生成值的步骤：

- name: Current commit
  id: current-commit
  if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'true'
  run: |
    SHA=${{ github.sha }}
    echo "CURRENT_COMMIT_SHORT=${SHA:0:7}" >> $GITHUB_ENV

后续任务中直接引用：

TF_VAR_ACTION_CURRENT_COMMIT: ${{ needs.get-dependent-info.env.CURRENT_COMMIT_SHORT }}

3. Base64编码传递

对输出值进行Base64编码，使用时解码：
生成值的步骤：

- name: Current commit
  id: current-commit
  if: env.SHOULD_REBUILD_DOCKER_IMAGES == 'true'
  run: |
    SHA=${{ github.sha }}
    SHORT_SHA=$(echo "${SHA:0:7}" | base64)
    echo "hash=$SHORT_SHA" >> $GITHUB_OUTPUT

后续使用时解码：

echo "${{ needs.get-dependent-info.outputs.current_commit }}" | base64 -d

4. 调整机密存储格式（若可行）

如果误判是因为某特定机密的格式与输出重合，可以修改该机密内容（比如添加固定前缀），减少特征匹配概率。

内容的提问来源于stack exchange，提问作者chenny