GitHub Actions中base64编码GCP服务账号Secret报语法错误

这个错误和GitHub Actions是否支持直接操作Secret无关，核心问题是你直接将${{ secrets.GCR_SA }}内联到shell命令字符串中时，GitHub Actions会在步骤执行前把表达式替换为Secret的明文内容，而GCP服务账号JSON格式的密钥本身包含大量双引号、换行符、特殊符号，这些字符会被shell直接解析，打断原有命令的语法结构。报错信息里的***是GitHub Actions检测到日志中出现Secret明文后自动替换的掩码字符，不是触发错误的实际符号。

不需要提前预存base64格式的Secret，以下两种方案都可以稳定解决问题：

• 方案1：通过环境变量传递Secret，避开shell内联解析
  不要直接在run命令里插值Secret，将Secret挂载为步骤的环境变量，shell读取环境变量时不会解析值内部的特殊符号，从根源避免语法冲突。修改后的步骤配置如下：

  - name: base64 encode the gcr sa
    id: base64-encode
    env:
      RAW_GCR_SA: ${{ secrets.GCR_SA }}
    run: |
      B64_SA=$(echo -n "$RAW_GCR_SA" | base64 -w 0)
      echo "::set-output name=STAGING_GCR_SA_BASE64::$B64_SA"
  

  注意两个细节：一是读取环境变量时必须用双引号包裹"$RAW_GCR_SA"，否则会丢失JSON里的换行和空格；二是base64命令加-w 0参数（GitHub Actions默认使用Ubuntu runner，该参数可以禁止base64输出自动换行，避免后续使用密钥时格式错误，macOS runner对应参数为-b 0）。
• 方案2：使用GitHub Actions内置表达式做编码，完全绕过shell解析
  GitHub Actions表达式内置了toBase64函数，可以直接在工作流语法层完成编码，不需要编写shell处理逻辑，彻底避开shell解析特殊字符的问题：

  - name: base64 encode the gcr sa
    id: base64-encode
    run: |
      echo "::set-output name=STAGING_GCR_SA_BASE64::${{ toBase64(secrets.GCR_SA) }}"
  

补充提示：GitHub Actions已经正式废弃了::set-output的输出写法，新版runner推荐使用$GITHUB_OUTPUT环境变量写入步骤输出，兼容性更好，调整后的写法如下：

- name: base64 encode the gcr sa
  id: base64-encode
  env:
    RAW_GCR_SA: ${{ secrets.GCR_SA }}
  run: |
    B64_SA=$(echo -n "$RAW_GCR_SA" | base64 -w 0)
    echo "STAGING_GCR_SA_BASE64=$B64_SA" >> $GITHUB_OUTPUT

内容的提问来源于stack exchange，提问作者pkaramol