在Docker容器构建/运行流程中配置GitHub Actions Secrets遇到的命令未找到错误及替代方案咨询

错误原因分析 #

你遇到的bash: line 1: secret1: command not found问题，核心是shell引号嵌套解析和特殊字符冲突导致的：

• 当GitHub Actions将${{ secrets.TEST_1 }}替换为实际值时，如果这个值包含空格、引号或其他shell特殊字符，你当前的eval "GITHUB_USER=x${{ secrets.TEST_1 }} ..."嵌套写法会让shell错误地把secrets内容的一部分当成独立命令执行。比如如果TEST_1的值是my secret，替换后会变成GITHUB_USER=xmy secret，shell会把secret当成单独命令去运行，从而触发错误。
• 另外，eval本身的嵌套引号结构就容易引发解析混乱，尤其是处理敏感数据时风险更高。

解决方案推荐 #

针对你的需求（自动化读取多个secrets、不硬编码.env文件），推荐以下两种可靠方案：

方案一：临时.env文件+Base64编码传递（最安全清晰）

这种方式可以彻底避免特殊字符解析问题，同时方便管理大量环境变量，用完即删不会留下敏感信息：

- name: Backend - Build Container (fixed)
  run: |
    # 生成.env格式的内容，包含所有需要的secrets
    ENV_CONTENT=$(cat <<EOF
    GITHUB_USER="x${{ secrets.TEST_1 }}"
    GITHUB_REPO_NAME="xx${{ secrets.TEST_2 }}"
    # 在这里添加更多需要的环境变量，格式统一为KEY="VALUE"
    EOF
    | base64 -w 0)  # 用Base64编码避免特殊字符冲突

    # 处理SSH密钥
    echo "${{ secrets.CONFIG_SERVER_SSH_KEY }}" > id_rsa_ssh_key_server_temp.pem
    chmod 600 id_rsa_ssh_key_server_temp.pem

    # 通过SSH连接服务器，解码生成临时.env并启动容器
    ssh -v -t -t -i id_rsa_ssh_key_server_temp.pem -o StrictHostKeyChecking=no ubuntu@${{ env.CONFIG_SERVER_IP }} << 'REMOTE_SCRIPT'
    echo "$ENV_CONTENT" | base64 -d > temp.env
    # 用临时.env文件启动docker-compose
    docker-compose -f ss-build-files/ubuntu-container-build.yml --env-file temp.env up -d && docker-compose -f ss-build-files/ubuntu-container-build.yml logs
    # 立即删除临时.env文件，清理敏感信息
    rm temp.env
    REMOTE_SCRIPT

    # 清理本地临时密钥
    rm id_rsa_ssh_key_server_temp.pem
    echo "Status check: jobs completed successfully!"

方案二：直接导出环境变量（适合少量变量）

如果你的环境变量不多，可以避免使用eval，直接在SSH会话中导出变量后再执行docker-compose：

- name: Backend - Build Container (fixed)
  run: |
    # 构造远程执行的脚本，先导出环境变量再启动容器
    BACKEND_CONTAINER_SH_SCRIPT='
    export GITHUB_USER="x${{ secrets.TEST_1 }}"
    export GITHUB_REPO_NAME="xx${{ secrets.TEST_2 }}"
    docker-compose -f ss-build-files/ubuntu-container-build.yml up -d && docker-compose -f ss-build-files/ubuntu-container-build.yml logs
    '

    echo "${{ secrets.CONFIG_SERVER_SSH_KEY }}" > id_rsa_ssh_key_server_temp.pem
    chmod 600 id_rsa_ssh_key_server_temp.pem
    ssh -v -t -t -i id_rsa_ssh_key_server_temp.pem -o StrictHostKeyChecking=no ubuntu@${{ env.CONFIG_SERVER_IP }} "$BACKEND_CONTAINER_SH_SCRIPT"
    rm id_rsa_ssh_key_server_temp.pem
    echo "Status check: jobs completed successfully!"

这种方式需要确保secrets的值不包含未转义的双引号，否则会打断export语句的引号结构。

自动化批量处理Secrets的小技巧 #

如果你需要批量读取多个repo secrets并生成环境变量，可以用GitHub Actions的脚本自动生成：

env:
  # 列出所有需要用到的secrets名称
  REQUIRED_SECRETS: "TEST_1 TEST_2 ANOTHER_SECRET"

- name: Generate environment variables content
  id: gen-env
  run: |
    ENV_CONTENT=""
    for SECRET in $REQUIRED_SECRETS; do
      # 自动生成.env格式的行，KEY="VALUE"
      ENV_CONTENT+="GITHUB_${SECRET}=\"${{ secrets[SECRET] }}\"\n"
    done
    # 将结果保存为output，供后续步骤使用
    echo "env-content=$ENV_CONTENT" >> $GITHUB_OUTPUT

# 后续步骤中可以通过${{ steps.gen-env.outputs.env-content }}获取生成的内容

备注：内容来源于stack exchange，提问作者Jorge Mauricio