如何在GitHub Action上下文之外获取GitHub解密后的secrets

GitHub官方的设计逻辑是永远不会通过Rest API、Web界面等公开路径返回密钥的解密明文，仅会在授权的GitHub运行环境（包括GitHub Actions、Codespaces等）中将密钥注入为环境变量供调用，因此你预期的直接调用API拿明文的方式本身是不被支持的，你可以通过以下几种方案实现需求：

• 一次性迁移场景：运行临时GitHub Actions工作流批量导出密钥到目标CI/CD平台
  编写一次性的工作流配置文件，通过secrets.XXX的官方语法读取所有需要迁移的密钥，直接调用目标CI/CD平台的密钥写入接口将明文同步过去，全程明文不会落地到日志、存储等可泄露的位置，GitHub会自动对所有打印到日志的密钥内容做掩码处理，不用担心导出过程泄露。
• 持续同步场景：通过自托管GitHub Actions Runner做中转分发
  如果需要长期同时使用GitHub和其他CI/CD工具、且要求两边密钥保持一致，可以部署私有的自托管GitHub Runner，在Runner所在的可控网络环境中运行同步脚本，工作流触发脚本执行时密钥会被自动注入到进程的环境变量中，你可以用任意语言编写同步逻辑直接读取环境变量的明文值，再分发到其他CI/CD工具的密钥管理系统中。
• 开发环境脚本调用场景：使用用户级/ Codespaces密钥配置
  如果你的多语言脚本是在开发环境运行，不需要用到CI/CD流程，可以将密钥配置到GitHub个人账户的Codespaces密钥列表中，启动Codespaces实例时密钥会被自动注入到系统环境变量，任意语言都可以直接读取对应环境变量拿到解密后的明文，不需要额外调用接口。

风险提示：所有密钥明文的导出、同步操作必须在私有可控的环境中执行，禁止将明文提交到代码仓库、打印到公开可访问的日志、或通过未加密的公网链路传输，避免发生密钥泄露事故。

内容的提问来源于stack exchange，提问作者caeus