如何在GitHub Action中正确调用GitHub Secret完成SSH密码验证

首先确认：echo 不输出 Secrets 是正常现象 #

GitHub Actions 为了避免密钥泄露，会自动将所有 Secrets 内容在运行日志中用***掩码替换，你看不到输出不代表密钥没有被正确读取，不用在这个点上浪费排查时间。

排查&解决步骤 #

• 第一步：核对 Secrets 配置正确性
  进入对应仓库的设置 > Secrets and variables > Actions > 仓库密钥界面，确认：
  • 密钥名称确实是全大写的PASSWORD，没有拼写错误、大小写偏差或多余前后空格
  • 密钥配置在当前仓库下，没有错配置到组织级、环境级密钥或其他仓库中
  • 密钥值就是你的SSH明文密码，复制粘贴时没有带多余的换行或空格
• 第二步：排查密码特殊字符问题
  如果你的SSH密码包含$、"、'、\这类特殊字符，GitHub Actions 解析时会自动转义导致密码实际传入值和预期不符。可以先把密码临时改成不带特殊字符的纯字母数字组合测试，如果测试能正常登录，就调整密码规则或者存储密钥时对特殊字符做转义处理。
• 第三步：核对服务器连接配置
  • 先在本地设备用相同的主机地址、端口、账号、密码手动SSH登录，确认服务器本身没有设置IP白名单、防火墙拦截GitHub Actions的出口IP，账号密码本身可以正常登录
  • 确认工作流中填写的host、port、username参数没有拼写错误
• 第四步：验证密钥是否正确读取（可选）
  如果你要确认Secrets确实被正确读取，不要直接echo，可以运行哈希校验命令：

  - name: 校验密钥值
    run: echo "${{ secrets.PASSWORD }}" | sha256sum
  

  再在本地用你真实的SSH密码执行相同的sha256计算，对比两个哈希值是否一致，即可确认密钥读取是否正确，不会泄露密码内容。

更稳定的替代方案 #

建议优先使用SSH密钥认证代替密码认证，安全性更高也不会有特殊字符转义问题：

1. 本地生成SSH密钥对，将公钥添加到服务器的~/.ssh/authorized_keys文件中
2. 将私钥内容存储为GitHub Secret，命名为SSH_PRIVATE_KEY
3. 调整ssh-action配置即可：

- name: 执行远程SSH命令
  uses: appleboy/ssh-action@master
  with:
    host: '12234.myserver.com'
    username: 'ssh-user'          
    key: ${{ secrets.SSH_PRIVATE_KEY }}
    port: '22'
    script: | 
      cd www/htdocs/src/    

内容的提问来源于stack exchange，提问作者Maik Lowrey