如何在非工作流/非Action的YAML文件中访问GitHub Secrets？

核心结论 #

你无法直接在非GitHub工作流的普通YAML文件中访问GitHub Secrets。

${{ secrets.XXX }}是GitHub Actions专属的插值语法，仅当写在.github/workflows/目录下的工作流YAML文件的指定字段中时，才会被GitHub的Actions运行器自动替换为真实的密钥值。你项目内自用的业务配置YAML不会被GitHub主动解析修改，文件内写的${{ secrets.INFURA_RINKEBY_WSS }}只会被当作普通字符串处理，自然无法读取到真实的密钥。

适配你现有场景的解决方案 #

你已经在工作流的report步骤中注入了INFURA_RINKEBY_WSS环境变量，只需要新增一步配置文件占位符替换即可解决问题：
修改你的main.yaml工作流，在复制配置文件的步骤之前，新增替换逻辑：

- name: 替换配置文件中的密钥占位符
  run: |
    # 请将下方路径替换为你实际存放EndpointList配置的文件路径
    sed -i "s|\${{ secrets.INFURA_RINKEBY_WSS }}|$INFURA_RINKEBY_WSS|g" ./config/你的配置文件名.yaml
  env:
    INFURA_RINKEBY_WSS: ${{ secrets.INFURA_RINKEBY_WSS }}

该步骤会直接把配置文件里的占位符替换为真实的密钥值，之后再复制到home目录，程序读取配置时就能拿到正确的Infura地址。

可选替代方案 #

如果你使用的telliot工具支持配置读取环境变量，你可以直接把配置文件里的url字段改为${INFURA_RINKEBY_WSS}，不需要额外修改工作流，工具加载配置时会自动从运行环境中读取对应的环境变量值。

内容的提问来源于stack exchange，提问作者ohhimark