GitHub Actions运行Rails测试时credentials值为nil的问题求解

先讲清楚你观察到的两个反常现象的根因：

• 为什么没触发预期的ActiveSupport::MessageEncryptor::InvalidMessage异常？
  Rails加载加密凭据的默认逻辑是静默降级：当找不到master.key、密钥解密失败、或者当前环境没有匹配的凭据文件路径时，不会主动抛出解密失败错误，只会返回一个空的凭据对象，这就是为啥你在CI里拿到的secret_key_base是nil，而不是直接报错。
• 为什么本地测试过得了，CI里取值为空？
  本地开发环境有仓库根目录下的master.key文件，能正常解密credentials.yml.enc里配置的secret_key_base；而CI环境没把master.key提交到仓库，根本解不开加密凭据，所以所有凭据字段的读值都是空的。

按下面的步骤配置完，CI环境的Rails凭据读取逻辑会和本地完全一致，不需要在测试里给任何凭据字段加临时mock：

1. 把本地config/master.key的完整内容，存到GitHub仓库的加密Secrets配置里，命名建议直接用RAILS_MASTER_KEY
2. 在GitHub Actions的测试工作流里，二选一完成密钥注入就行：
   • 优先用环境变量直接注入，不需要在CI上生成多余文件，在跑测试的Job下加这段配置：

     env:
       RAILS_MASTER_KEY: ${{ secrets.RAILS_MASTER_KEY }}
     

     Rails默认会优先读RAILS_MASTER_KEY环境变量作为解密凭据的密钥，不需要额外做文件写入操作。
   • 如果习惯用文件读的方式，也可以在CI的项目初始化步骤里，把Secret值写到对应路径：

     echo "${{ secrets.RAILS_MASTER_KEY }}" > config/master.key
     

3. 配置完之后，CI环境的Rails就能正常解密提交到仓库的credentials.yml.enc，所有配置的凭据字段（包括secret_key_base）都会正常返回，和本地开发的逻辑完全对齐。

你现在用的rspec单字段mock，只解决了secret_key_base的取值问题。如果后续测试逻辑碰到其他需要从凭据读的配置（比如数据库连接参数、第三方服务密钥、邮件发送配置等），还是会因为取值为nil报错，得逐字段补mock，长期维护成本很高。
提醒下：绝对不要把master.key直接提交到公开代码仓库，这类解密密钥必须存在平台的加密Secrets存储里，不能硬编码到可公开访问的配置文件中。

内容的提问来源于stack exchange，提问作者Saad