GitHub Secrets可否用于application.yaml，还是仅支持Workflow文件？

首先明确：${{ secrets.xxx }}是GitHub Actions专属的变量语法，仅能在Workflow配置文件中生效，GitHub不会自动解析你代码仓库里application.yaml等普通配置文件的该类占位符，直接这么写是没法读取到密钥值的。

要实现把GitHub Secrets中存储的凭证注入到application.yaml使用，可以按照以下方案操作：

方案步骤 #

1. 先修改application.yaml的凭证位为自定义占位符，避免和框架本身的变量语法冲突，示例：

datasource:
  url: db_name
  username: @DB_USERNAME@
  password: @DB_PASSWORD@

占位符的格式可以自己定，只要和后续替换规则匹配即可。

2. 在GitHub Actions Workflow文件中新增占位符替换步骤，在构建/部署前把Secrets的值写入配置文件，示例Workflow片段：

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      # 注入凭证到配置文件
      - name: 替换application.yaml密钥占位符
        run: |
          sed -i "s/@DB_USERNAME@/${{ secrets.DB_USERNAME }}/g" 你的application.yaml实际路径
          sed -i "s/@DB_PASSWORD@/${{ secrets.DB_PASSWORD }}/g" 你的application.yaml实际路径
      # 后续正常执行构建、部署逻辑即可

额外优化建议 #

• 如果是Spring Boot项目，不需要修改配置文件也可以实现：直接在服务启动命令中传入密钥参数，优先级高于配置文件的默认值，示例启动参数：
  java -jar your-app.jar --spring.datasource.username=${{ secrets.DB_USERNAME }} --spring.datasource.password=${{ secrets.DB_PASSWORD }}
• 不要将替换完成后带明文凭证的配置文件提交回代码仓库，仅在Workflow运行的临时环境中使用即可，GitHub默认会对Secrets的值做日志掩码处理，不会出现泄露风险。

内容的提问来源于stack exchange，提问作者Clancinio