GitHub Actions中git-secrets解密无文件生成问题求助

问题描述 #

使用git-secrets加密凭证后，本地执行git secret reveal可正常生成解密文件，但在GitHub Actions工作流中执行相同命令时，日志显示“done. all 1 files are revealed.”，却未生成解密后的文件。

本地复现步骤 #

• 安装git-secrets
• 创建GPG密钥：gpg --full-generate-key
• 执行git secret tell [GPG关联邮箱]
• 执行git secret add [文件名]
• 执行git secret hide加密文件
• 删除原文件
• 执行git secret reveal并输入密码，生成解密文件

GitHub Actions复现步骤 #

• 创建新工作流
• 添加步骤：

- name: Reveal
  run: |
    git secret reveal -p ${{ secrets.PASSPHRASE }}

排查与解决办法 #

1. 导入GPG私钥到Actions环境 #

GitHub Actions环境没有本地的GPG密钥，需手动导入：

1. 本地导出GPG私钥为ASCII格式：gpg --armor --export-secret-keys [你的GPG密钥ID]
2. 将导出的私钥内容存入GitHub仓库的Secrets（命名为GPG_PRIVATE_KEY）
3. 在工作流中添加导入步骤：

- name: Import GPG private key
  run: |
    echo "${{ secrets.GPG_PRIVATE_KEY }}" | gpg --batch --import

2. 验证文件路径与工作目录 #

• 确认工作流执行目录是加密文件所在路径，必要时切换目录：

- name: Reveal secrets
  run: |
    cd ./path/to/secret-files
    git secret reveal -p ${{ secrets.PASSPHRASE }}

• 解密后添加目录检查步骤，确认文件是否存在：

- name: Check decrypted files
  run: ls -la ./path/to/secret-files

3. 检查Passphrase传递有效性 #

• 验证secrets.PASSPHRASE是否正确传递，可通过长度检查确认（避免泄露密码）：

- name: Verify passphrase
  run: echo "Passphrase length: ${#PASSPHRASE}"
  env:
    PASSPHRASE: ${{ secrets.PASSPHRASE }}

4. 对齐git-secrets版本 #

确保Actions环境安装的git-secrets版本与本地一致，避免版本兼容问题：

- name: Install git-secrets
  run: |
    sudo apt-get update && sudo apt-get install -y git-secrets
    git secrets --version

内容的提问来源于stack exchange，提问作者C.C