GitHub Actions复用工作流间机密传递及作为机密传入方法

问题描述 #

尝试串联两个可复用GitHub Actions工作流：

• 工作流A（secrets.yaml）：从Vault获取机密DOCKER_CONFIG
• 工作流B（build.yaml）：需要使用工作流A生成的DOCKER_CONFIG

调用工作流代码：

jobs:
  first:
    uses: project/continuous-integration/.github/workflows/secrets.yaml@main
    with:
      vault_url: "https://..."
    secrets:
      TOKEN: ${{ secrets.TOKEN }}

  second:
    needs: first
    uses: project/continuous-integration/.github/workflows/build.yaml@main
    with:
      # … build inputs …
    secrets:
      DOCKER_CONFIG: ${{ needs.first.outputs.DOCKER_CONFIG }}

工作流A（secrets.yaml）代码：

on:
  workflow_call:
    inputs:
      vault_url:
        required: true
        type: string
    secrets:
      TOKEN:
        required: true
    outputs:
      DOCKER_CONFIG:
        value: ${{ jobs.fetch.outputs.DOCKER_CONFIG }}

jobs:
  fetch:
    runs-on: ubuntu-latest
    outputs:
      DOCKER_CONFIG: ${{ steps.fetch.outputs.DOCKER_CONFIG }}

    steps:
      - name: Fetch secrets from Vault
        id: fetch
        run: |
          DOCKER_CONFIG=$(curl ... )  # fetch from Vault
          echo "::add-mask::$DOCKER_CONFIG"

          if [[ -z "$DOCKER_CONFIG" ]]; then
            echo "Missing DOCKER_CONFIG"
            exit 1
          fi

          echo "DOCKER_CONFIG=$DOCKER_CONFIG" >> "$GITHUB_OUTPUT"

实际运行出现错误：Unexpected value ''和警告Warning: Skip output 'DOCKER_CONFIG' since it may contain secret.，无法正常传递机密值。

原因分析 #

GitHub Actions会自动扫描工作流输出中的敏感内容（如密钥、Docker配置这类包含认证信息的字符串），一旦识别为机密，会自动屏蔽该输出值，导致下游工作流拿到空值，同时触发上述警告。普通输出字段无法安全传递机密内容。

解决方案 #

1. 修改工作流A，将输出标记为机密类型 #

在secrets.yaml的workflow_call输出定义中，添加secret: true，将DOCKER_CONFIG标记为机密输出，这样GitHub会以机密方式处理该值，不会屏蔽：

on:
  workflow_call:
    inputs:
      vault_url:
        required: true
        type: string
    secrets:
      TOKEN:
        required: true
    outputs:
      DOCKER_CONFIG:
        value: ${{ jobs.fetch.outputs.DOCKER_CONFIG }}
        secret: true  # 新增此行，标记为机密输出

2. 确保工作流B正确接收机密参数 #

在build.yaml的workflow_call定义中，添加对应的机密输入：

on:
  workflow_call:
    inputs:
      # 保留原有build输入
    secrets:
      DOCKER_CONFIG:
        required: true  # 定义接收的机密参数

3. 调用工作流无需额外修改 #

原调用工作流中传递机密的代码保持不变，needs.first.outputs.DOCKER_CONFIG现在会以加密形式传递给工作流B的secrets字段：

second:
  needs: first
  uses: project/continuous-integration/.github/workflows/build.yaml@main
  with:
    # … build inputs …
  secrets:
    DOCKER_CONFIG: ${{ needs.first.outputs.DOCKER_CONFIG }}

关键问题解答 #

• 如何正确返回并传递机密输出？
  通过在可复用工作流的workflow_call.outputs中添加secret: true标记，将输出转为机密类型，避免被GitHub自动屏蔽，同时保证传递过程加密。
• 是否允许将needs.<job>.outputs.*映射到被调用工作流的secrets字段？
  允许，但前提是该输出值未被GitHub屏蔽。将输出标记为机密类型后，就能安全地通过needs引用传递到下游工作流的secrets字段中。

内容的提问来源于stack exchange，提问作者Ciprian Istrate