如何将GitHub Workflow密钥注入非工作流目录的properties文件

首先先澄清一个常见误解：GitHub Secrets 不存在「仅在.github/workflow目录下生效」的限制。它本质是GitHub给工作流运行环境提供的加密环境变量，只要是工作流执行过程中运行的脚本、命令都能读取。之所以会有“只在workflow目录生效”的错觉，是因为只有工作流YAML文件会被GitHub Actions主动解析、替换里面的${{ secrets.XXX }}表达式，仓库里其他目录的静态文件不会被自动扫描替换而已。

你提的两个思路里，第一个不生效的原因非常明确：${{ env.mypassword }}是GitHub Actions工作流专属的表达式语法，仅在YAML工作流文件被解析执行时才会被替换，你存放在其他目录的.properties是普通静态文件，Actions不会主动处理这些文件里的表达式，自然拿不到值。
第二个思路是完全可行的，属于生产环境的通用解法，下面整理了可直接复用的实现方式，不需要绕弯单独传参给脚本。

可直接落地的实现方案 #

方案1：构建前动态替换properties文件占位符（适配所有类型项目） #

这是兼容性最好的方案，全程不会把敏感信息提交到仓库，所有操作都在Actions的临时运行环境中完成，构建结束后环境自动销毁，无泄露风险。
操作步骤：

• 先修改你仓库里的.properties文件，把原来明文写敏感信息的位置替换成不会和业务配置冲突的固定占位符，示例：

# 原来的明文配置
# db.username=admin
# db.password=my_real_pass
# 替换为占位符形式
db.username={{DB_USERNAME}}
db.password={{DB_PASSWORD}}

• 在你的build.yml工作流中，拉取代码之后、执行构建之前，加一个替换配置的步骤，直接用系统自带的sed命令替换占位符为真实Secret值即可，工作流片段示例：

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: 拉取仓库代码
        uses: actions/checkout@v4
      
      - name: 注入敏感配置到properties文件
        env:
          # key为步骤内自定义的环境变量名，value对应你在GitHub项目Secrets中配置的条目名
          DB_USER: ${{ secrets.DB_USERNAME }}
          DB_PWD: ${{ secrets.DB_PASSWORD }}
        run: |
          # 将下方文件路径替换为你自己的.properties文件实际路径
          # 如果密码包含/、&这类特殊字符，把sed的分隔符换成#即可，写法为s#占位符#值#g
          sed -i "s/{{DB_USERNAME}}/$DB_USER/g" ./src/main/resources/config.properties
          sed -i "s/{{DB_PASSWORD}}/$DB_PWD/g" ./src/main/resources/config.properties
      
      # 后续接原有的构建、打包、部署步骤即可

注意：替换完配置后不要执行git commit/git push操作把改完的文件推回仓库，否则会把敏感信息直接提交到代码库造成泄露。

方案2：通过环境变量覆盖配置（适配Spring等支持配置覆盖的框架） #

如果你用的是SpringBoot这类支持外部配置覆盖的框架，连修改properties文件的步骤都可以省掉：这类框架本身会自动读取运行环境的环境变量，且环境变量的优先级高于本地配置文件。
你只需要在启动项目/执行构建的步骤里，把Secret配置为对应名称的环境变量即可——比如.properties里有db.password配置项，只需要配置名为DB_PASSWORD的环境变量传入，框架会自动覆盖配置文件里的值，完全不需要改动仓库里的静态文件。

对你现有两个思路的补充说明 #

• 思路1不需要继续尝试，非工作流文件不会被Actions解析专属表达式，不可能生效。
• 思路2的方向完全正确，优化点是不需要把密钥作为命令行入参传给bash脚本：只要在执行脚本的步骤里把Secret配置为该步骤的环境变量，脚本内部直接读取对应环境变量即可，避免密钥出现在进程命令行参数中被日志记录，安全性更高。

内容的提问来源于stack exchange，提问作者Steve T