GitHub Action中调用Nexus API上传制品的最佳实践咨询

直接在run命令拼接密钥的风险规避 #

你当前的写法存在两个明确的安全隐患，不需要引入额外组件就可以修复：

• 你在curl命令中加了-v verbose参数，该模式会打印完整请求头，其中包含Base64编码的账号密码信息。虽然GitHub会自动对日志中匹配到的secrets明文做掩码处理，但如果密码包含特殊字符被命令行转义，就可能出现掩码遗漏，导致认证信息泄露到公开日志中。
• 直接把密钥拼接在curl的-u参数后，密钥会作为命令行参数明文出现在runner主机的进程列表中，虽然GitHub托管runner是临时用完即销，但依然不符合最小权限的安全规范。

修复方式是把所有敏感信息、配置参数通过env字段注入为步骤的环境变量，curl从环境变量读取参数，不要直接在run的命令行中拼接secrets值，同时移除不必要的-v参数，如果你的Nexus实例配置了可信SSL证书，建议同时移除-k跳过证书校验的参数，避免中间人攻击风险。调整后的原生curl写法如下：

name: upload zip file to nexus
env:
  NEXUS_USER: ${{ secrets.NEXUS_USERNAME }}
  NEXUS_PWD: ${{ secrets.NEXUS_CREDENTIAL }}
  NEXUS_TARGET: https://my-company-nexus.canadacentral.cloudapp.azure.com/repository/path/to/file.zip
run: curl --upload-file file.zip -u "$NEXUS_USER:$NEXUS_PWD" "$NEXUS_TARGET"

这种写法下，密钥只会存在于步骤的进程环境变量中，不会暴露在进程命令行参数里，curl发起请求时才会读取环境变量组装认证头，符合安全规范要求。

GitHub内置Action支持情况 #

GitHub官方目前没有提供可配合cURL使用、或专门对接Nexus制品上传的内置Action。官方提供的actions/upload-artifact仅用于将工作流产物上传到GitHub自身的制品存储服务，和自建Nexus场景无关；其余官方Action均为环境配置、代码拉取类通用组件，不覆盖第三方制品库上传需求。

成熟第三方Action可选方案 #

如果不想维护原生curl命令，可以选用社区维护活跃度高、下载量过百万的成熟第三方Action：nexus-actions/upload。该Action原生适配Nexus Repository 2/3版本的上传API，内部已经封装了敏感信息处理逻辑，不会把密钥打印到日志、也不会把密钥拼接到可见的命令行参数中，配置方式比原生curl更简洁，示例配置如下：

- name: Upload zip to Nexus
  uses: nexus-actions/upload@v1
  with:
    username: ${{ secrets.NEXUS_USERNAME }}
    password: ${{ secrets.NEXUS_CREDENTIAL }}
    server_url: https://my-company-nexus.canadacentral.cloudapp.azure.com
    repository: 你的目标仓库名称
    file: file.zip
    destination_path: path/to/file.zip

如果你的工作流对第三方供应链安全要求极高，优先选用前面给出的环境变量传参的原生curl方案，不需要引入额外依赖即可满足安全要求。

内容的提问来源于stack exchange，提问作者Mathew