如何向可复用GitHub Action工作流传递参数化密钥？

问题根源 #

你遇到的错误是因为在调用可复用工作流时，敏感密钥不能通过with（对应inputs）传递，GitHub要求敏感数据必须通过workflow_call定义的secrets区块来传递，而非普通的input参数。

解决方案步骤 #

1. 修改可复用工作流（.github/workflows/_deploy.yaml）

将原来定义为input的敏感参数全部移到secrets字段下：

name: Deploy Application
on:
  workflow_call:
    secrets:
      vercel_org_id:
        required: true
      vercel_project_id:
        required: true
      turbo_token:
        required: true
      turbo_team:
        required: true
jobs:
  deploy:
    runs-on: ubuntu-latest
    env:
      VERCEL_ORG_ID: ${{ secrets.vercel_org_id }}
      VERCEL_PROJECT_ID: ${{ secrets.vercel_project_id }}
      TURBO_TOKEN: ${{ secrets.turbo_token }}
      TURBO_TEAM: ${{ secrets.turbo_team }}
    steps:
      - # ... 原有的部署步骤 ...

2. 修改调用工作流（.github/workflows/production.yaml）

将原来的with替换为secrets字段，传递对应的密钥：

deploy_app1:
  name: Deploy App1 / Production
  uses: ./.github/workflows/_deploy.yaml
  needs: validate
  if: ${{ needs.validate.outputs.deploy_app1 != 0 }}
  secrets:
    vercel_org_id: ${{ secrets.VERCEL_APP1_ORG_ID }}
    vercel_project_id: ${{ secrets.VERCEL_APP1_PROJECT_ID }}
    turbo_token: ${{ secrets.TURBO_TOKEN }}
    turbo_team: ${{ secrets.TURBO_TEAM }}
deploy_app2:
  name: Deploy App2 / Production
  uses: ./.github/workflows/_deploy.yaml
  needs: validate
  if: ${{ needs.validate.outputs.deploy_app2 != 0 }}
  secrets:
    vercel_org_id: ${{ secrets.VERCEL_APP2_ORG_ID }}
    vercel_project_id: ${{ secrets.VERCEL_APP2_PROJECT_ID }}
    turbo_token: ${{ secrets.TURBO_TOKEN }}
    turbo_team: ${{ secrets.TURBO_TEAM }}

关键说明 #

• GitHub Action的workflow_call区分普通输入参数（inputs）和敏感密钥（secrets），敏感数据必须通过secrets区块定义和传递，这样GitHub会自动处理密钥的加密和访问控制，避免泄露风险。
• 调整后，密钥会被正确识别，且复用工作流的逻辑完全保留，仅修改了参数的传递方式。

内容的提问来源于stack exchange，提问作者Christian Ivicevic