Secrets 与环境

这一课你将能做到

1. 在仓库 Settings → Secrets and variables → Actions 创建 secret，并在 workflow 里用 ${{ secrets.NAME }} 引用
2. 解释为什么密码不能写进 YAML，以及日志里 secret 为什么显示为 ***
3. 给部署类 job 挂上 environment: production，并说清「环境保护规则（审批/等待）」与普通 repository secret 的差别

为什么要学

CI 迟早要碰真实凭据：推 GHCR、SSH 到 VPS、读云厂商 API。把密钥写进 ci.yml 再 push，等于把钥匙贴在大门上——Git 历史还会长期留下，删文件也删不掉历史。

GitHub Secrets 把值存在平台侧，YAML 里只出现名字；运行时注入环境变量或输入，日志自动打码。再配合 Environments，生产部署可以要求人工审批、加等待计时，还能用环境专属 secrets。

本课建立正确的存放与引用习惯；具体 Docker 登录、SSH 部署在后几课用到这些名字。

先建立图像

仓库 Settings
  └─ Secrets and variables → Actions
        DB_PASSWORD = ••••••（只存平台，不进 Git）
        SSH_PRIVATE_KEY = ••••••

workflow YAML（进 Git，可公开读）
  env:
    DB_PASSWORD: ${{ secrets.DB_PASSWORD }}   ← 只有名字

runner 运行时
  进程环境里有真实值；日志中自动打码为 ***

人话：Secrets 像保险箱；YAML 只写「去保险箱取哪一把钥匙」的标签，不写钥匙齿形。

存放处	适合	特点
Repository secret	单仓库 CI/CD	有 admin 权限可管理；运行时可读
Environment secret	某环境（如 production）	叠加审批、等待计时等保护规则
Variable（非 secret）	非敏感配置如区域名、Node 版本	明文可见、不打码
写死在 YAML / 提交 .env	无	泄漏，禁止

跟着做

步骤 1：创建练习用 secret

仓库 → Settings → Secrets and variables → Actions → New repository secret：

• Name：CI_TEST
• Value：随意字符串，如 hello-secret

保存后列表里只能看到名字，看不到值（明文不可再查看，只能覆盖更新）。

步骤 2：在 workflow 里引用

name: Secret smoke

on:
  workflow_dispatch:

permissions:
  contents: read

jobs:
  show:
    runs-on: ubuntu-latest
    steps:
      - name: 引用 secret（观察打码）
        env:
          # 值来自 Settings，不进 Git
          CI_TEST: ${{ secrets.CI_TEST }}
        run: |
          # 日志中通常显示为 ***，不要用技巧拼回明文
          echo "CI_TEST length=${#CI_TEST}"
          echo "CI_TEST value=$CI_TEST"