同组织GitHub仓库调用可复用工作流无法访问Secrets问题排查

跨仓库调用GitHub Actions可复用工作流时，默认无法直接读取被调用工作流仓库内存储的仓库级Secrets，这是平台原生的安全隔离设计，不属于配置错误。

• 单仓库场景：在主仓库创建对应Secrets后传递
  你当前配置里${{ secrets.USER_NAME }}读取的是主仓库的Secrets上下文，若只有单个主仓库需要调用该工作流，直接在主仓库内创建同名Secrets即可正常运行。
  额外注意：调用可复用工作流时必须指定引用的分支、标签或完整Commit SHA，你原配置缺失该字段也可能触发运行异常，修正后的参考配置如下：

  name: name_of_workflow
  
  on:
    push:
      branches: github_branch
  
  jobs:
    job1: 
      uses: org/repo/workflow_repo/.github/workflows/filenamehere@main # 替换为实际的分支/标签/SHA
      secrets: inherit # 该行用于将主仓库可访问的所有Secrets传递给被调用工作流，若仅需传递指定Secrets可单独声明对应密钥
      with:
        variable_name: |
          -user=${{secrets.USER_NAME}}
          -password=${{secrets.USER_PASSWORD}}
  

• 多仓库复用场景：配置组织级Secrets
  如果你有多个主仓库都要调用这套可复用工作流，不需要在每个主仓库重复创建Secrets。可以在所属组织层面创建统一的Secrets，配置访问权限范围覆盖所有需要调用工作流的主仓库、以及存放可复用工作流的仓库，后续所有主仓库调用时都可以直接读取该组织级Secrets，无需重复配置。

不要尝试通过API、自定义PAT等方式跨仓库直接读取工作流仓库的私有Secrets，这类操作会打破平台原生的密钥权限边界，大幅提升密钥泄露的风险，也不符合GitHub Actions的安全设计规范。

内容的提问来源于stack exchange，提问作者Stephanie Couto