如何在GitHub仓库中安全存储Azure DevOps PAT令牌供Action使用

你要找的凭证存储功能是 GitHub Secrets，可以按仓库层级、组织层级两种维度存储敏感信息，存储后无法再查看明文值，仅能在GitHub Action运行时由系统自动注入到运行环境中，不会在日志中明文打印。

配置步骤 #

• 第一步：存储PAT到GitHub Secrets
  如果是单仓库使用，进入对应GitHub仓库的「Settings」→ 左侧菜单栏找到「Secrets and variables」→ 选择「Actions」→ 点击「New repository secret」，自定义密钥名比如AZURE_DEVOPS_PAT，将你的PAT值填入后保存即可。
  如果是多仓库共用该凭证，建议存入组织级Secrets，可统一配置生效范围，避免多仓库重复配置。
• 第二步：修改GitHub Action工作流配置，在pip安装步骤中注入密钥
  你可以直接在工作流的安装步骤里拼接认证地址，示例配置如下：

  - name: 安装私有Python包
    run: |
      pip install your-package --index-url https://username:${{ secrets.AZURE_DEVOPS_PAT }}@pypi.company.com/simple
  

• 额外安全优化：你也可以先配置PIP_INDEX_URL环境变量，避免命令中直接拼接地址，配置示例：

  jobs:
    build:
      runs-on: ubuntu-latest
      env:
        PIP_INDEX_URL: https://username:${{ secrets.AZURE_DEVOPS_PAT }}@pypi.company.com/simple
      steps:
        - uses: actions/checkout@v4
        - name: 安装依赖
          run: pip install your-package
  

注意：GitHub会自动屏蔽Secrets的明文值，即使工作流执行日志打印相关变量，也会统一替换为***，不会泄露敏感信息。

内容的提问来源于stack exchange，提问作者MAK