如何在GitHub Action脚本中使用密钥填充TOML配置文件？

你看到的***是GitHub Action的日志安全屏蔽机制，实际密码已经正确写入deploy.toml文件了——GitHub只是不会在日志里明文显示敏感内容，不影响脚本的执行结果。如果验证后配置文件里的密码是正确的，其实不需要额外处理。

如果需要避免密码出现在命令行参数中（比如防止在进程快照中泄露），可以用以下几种更安全的方式：

方法1：用awk处理替换 #

- name: Add PW to Config
  run: |
    awk -v pw="$SERVER_PASSWORD" '/^password/ {sub(/=.*/, "=" pw)} 1' deploy.toml > temp.toml && mv temp.toml deploy.toml

awk直接读取环境变量，在进程内部完成替换，不会把密码暴露在命令行参数里。

方法2：通过临时文件传递密码 #

- name: Add PW to Config
  run: |
    echo "$SERVER_PASSWORD" > .temp_pw
    sed -in "s/^password.*/password=$(cat .temp_pw)/g" deploy.toml
    rm .temp_pw

先把密码写入临时文件，再读取文件内容完成替换，避免直接在sed命令中引用环境变量。

方法3：用envsubst替换占位符 #

如果你的运行环境自带envsubst（主流Linux镜像都包含），可以先修改配置文件的占位符：

把deploy.toml中的密码行改为：password=${SERVER_PASSWORD}

然后在Action中执行替换：

- name: Substitute PW in Config
  run: envsubst < deploy.toml > temp.toml && mv temp.toml deploy.toml

内容的提问来源于stack exchange，提问作者pcace