GitHub Actions可复用工作流输出被误识别为密钥问题求助

在GitHub Actions可复用工作流中同时使用secrets、配置工作流输出项（输出内容为S3文件路径）时，因路径包含部分AWS密钥相关片段，触发报错：
Skip output 'file-url' since it may contain secret.
初始配置如下：

aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
aws-region: ${{ secrets.AWS_REGION  }}
aws-bucket: ${{ secrets.S3_BUCKET }}
bucket-root: ${{ secrets.S3_KEY }}
file-path: ${{ steps.apk-file-path.outputs.file-path }} 
output-file-url: 'true'
output-qr-url: 'true'

尝试调整配置，将部分参数改为inputs输入项、把密钥配置放在调用方工作流中传递后，又触发报错：
Unrecognized named-value: 'secrets'.
调整后的可复用工作流配置：

aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
aws-region: ${{ inputs.aws_region  }}
aws-bucket: ${{ inputs.s3_bucket }}
bucket-root: ${{ inputs.s3_key }}

调整后的调用方工作流配置：

uses: ./.github/workflows/reusable-test.yml
secrets: inherit
with:
  aws_region: ${{ secrets.AWS_REGION }}
  s3_bucket: ${{ secrets.S3_BUCKET }}
  s3_key: ${{ secrets.S3_KEY }}

• 第一个报错来自GitHub Actions内置的密钥泄露防护机制：所有工作流输出、日志内容只要匹配到已注册secret的连续片段，就会被直接拦截/掩码，避免明文泄露密钥，和密钥的传递方式无关，只要内容片段命中规则就会触发拦截。
• 第二个报错来自可复用工作流的secrets作用域规则：可复用工作流无法直接读取调用方上下文中的secrets，即便调用方配置了secrets: inherit，如果没有显式传递对应secret，工作流内直接引用${{ secrets.XXX }}就会抛出未识别命名值的错误；另外禁止通过with输入项传递secret，inputs为明文传递，会直接暴露在工作流日志中造成密钥泄露。

1. 修正secrets传递语法
   所有密钥类参数统一通过secrets块显式传递，不要通过inputs传secret，修正后的调用方配置：

   uses: ./.github/workflows/reusable-test.yml
   secrets:
     AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
     AWS_REGION: ${{ secrets.AWS_REGION }}
     S3_BUCKET: ${{ secrets.S3_BUCKET }}
     S3_KEY: ${{ secrets.S3_KEY }}
   

   可复用工作流内统一从secrets上下文读取对应参数，不再从inputs读取密钥类配置：

   aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
   aws-region: ${{ secrets.AWS_REGION  }}
   aws-bucket: ${{ secrets.S3_BUCKET }}
   bucket-root: ${{ secrets.S3_KEY }}
   file-path: ${{ steps.apk-file-path.outputs.file-path }} 
   output-file-url: 'true'
   output-qr-url: 'true'
   

2. 解决输出被密钥掩码拦截的问题，三选一即可：
   • 方案一（最推荐）：调整S3路径生成规则，不要使用和secret值重合的片段作为路径组成部分，改用commit hash、构建序号、随机UUID这类非敏感值作为路径前缀，从根源上避免生成的URL命中密钥掩码规则，无额外兼容成本。
   • 方案二：对输出的URL做Base64编码后再作为工作流输出，编码后的内容不会匹配原始secret的字符片段，不会触发拦截。调用方拿到编码值后本地做Base64解码即可拿到真实URL，示例处理逻辑：

     - name: 编码输出文件URL
       id: encode-output
       run: |
         ENCODED_URL=$(echo -n "${{ steps.upload-s3.outputs.file-url }}" | base64 -w 0)
         echo "encoded-file-url=$ENCODED_URL" >> $GITHUB_OUTPUT
     

     后续工作流输出使用steps.encode-output.outputs.encoded-file-url即可。
   • 方案三：如果必须保留原始路径且不想做编码，可将URL中命中secret的敏感片段替换为固定占位符后输出，调用方持有完整secret，拿到输出后自行将占位符替换回真实片段即可，该方式也不会触发掩码拦截。

内容的提问来源于stack exchange，提问作者Polina_A