如何在 GitHub Actions 中使用 env 文件？

Question

我有多个环境（dev、qa、prod）并且我正在使用 .env 文件来存储机密等...现在我正在切换到 GitHub Actions，我想使用我的 .env 文件并声明它们进入 github 操作 yml 的 env 部分。

但是从我目前看到的情况来看，我似乎无法设置文件路径，我必须手动重新声明所有变量。

我应该如何进行最佳实践？

Answer 1

这里的一个快速解决方案可能是在您需要之前手动创建.env 文件。

- name: Create env file
        run: |
          touch .env
          echo API_ENDPOINT="https://xxx.execute-api.us-west-2.amazonaws.com" >> .env
          echo API_KEY=${{ secrets.API_KEY }} >> .env
          cat .env

Answer 2

执行此操作的最简单方法是将 .env 文件创建为 github 机密，然后在您的操作中创建 .env 文件。
因此，第 1 步是在 github 中将 .env 文件创建为秘密文件，作为 base64 编码字符串：
openssl base64 -A -in qa.env -out qa.txt
或
cat qa.env | base64 -w 0 > qa.txt
然后在你的行动中，你可以做类似的事情

- name: Do Something with env files
  env:
    QA_ENV_FILE: ${{ secrets.QA_ENV_FILE }}
    PROD_ENV_FILE: ${{ secrets.PROD_ENV_FILE }}
  run: |
    [ "$YOUR_ENVIRONMENT" = qa ] && echo $QA_ENV_FILE | base64 --decode > .env
    [ "$YOUR_ENVIRONMENT" = prod ] && echo $PROD_ENV_FILE | base64 --decode > .env

有多种方法可以确定$YOUR_ENVIRONMENT，但通常可以从GITHUB_REF 对象中提取。您的应用程序应该能够根据需要从 .env 文件中读取数据。

Answer 3

编辑： 您使用的是 Circleci 上下文，因此您拥有每个环境的一组秘密。我知道他们正在努力将秘密带到组织层面，也许是团队层面......没有信息他们是否会创建像我们在 CCI 中那样的上下文。

我考虑过使用 yml 上的 ${env}_GITHUB_KEY 将 env 添加为秘密名称的前缀，例如 STAGE_GITHUB_KEY 或 INTEGRATION_GITHUB_KEY 作为一种解决方法......你怎么看？

---原始答案： 如果我对您的理解很好，您已经将 dotenv 文件存储在某处，并且您希望将所有这些秘密注入步骤中，而无需手动将它们添加到 github 秘密并在您迁移的每个工作流程中进行映射......对吗？

有人执行了一项操作，该操作读取 dotenv 文件并将其值放入输出中，因此您可以在进一步的步骤中使用它们链接。这是链接：https://github.com/marketplace/actions/dotenv-action

.env 文件中存在的任何内容都将转换为输出变量。例如 .env 文件的内容：

VERSION=1.0
AUTHOR=Mickey Mouse

你这样做：

id: dotenv
uses: ./.github/actions/dotenv-action

然后你可以像这样引用alpine版本 ${{ steps.dotenv.outputs.version }}

Answer 4

我看到 3 种非常简单的方法可以让您的 .env 文件变量参与 GitHub 操作工作流程。它们的不同取决于您是将文件存储在存储库中（最差的做法）还是将其保留在存储库中（最佳做法）。

1. 您将文件保存在存储库中：

   • 有一些ready-made actions 允许读取.env 变量（例如Dotenv Action、Simple Dotenv）。

2. （简单，手动，更新时烦人.env 变量）您将文件保留在存储库之外：

   • 您手动将各个.env 文件（例如.env.stage、.env.production）的内容复制到各个GitHub Actions secret variables（例如WEBSITE_ENV_STAGE、WEBSITE_ENV_PRODUCTION）中。

   • 然后在您的 GitHub Actions 工作流脚本中，从所需的变量（如 echo "${{secrets.WEBSITE_ENV_STAGE }}" > .env）创建 .env 文件，并在工作流中使用它。

3. （虽然准备一次，但涉及更多，然后在本地计算机上更改您的 .env 变量，然后在 GitHub 上一键同步这些变量）如上面的第 2 项，文件是离开存储库。

   • 现在您使用 GitHub Actions API 到 create or update the secrets。在dev 环境中的本地计算机上，您编写调用API 端点的NodeJS 脚本，并将.env 文件写入所需的GitHub Actions 秘密变量（如上至WEBSITE_ENV_STAGE 或同时写入阶段和生产变量一次）；

这是在工作流中使用.env 文件变量的多种方式选择。使用任何符合您的偏好和情况。

Answer 5

另一种选择是使用来自 github 的 Environments 功能。尽管免费计划中的私人回购不提供此功能。 您可以在存储库、配置文件/组织级别和环境中设置范围变量。靠近存储库的配置变量优先于其他变量。

Answer 6

您还可以使用来自 github-marketplace 的专用 github action 创建 .env 文件。

示例用法：

name: Create envfile

on: [push]

jobs:

  create-envfile:
 
    runs-on: ubuntu-18.04
 
    steps:
    - name: Make envfile
      uses: SpicyPizza/create-envfile@v1
      with:
        envkey_DEBUG: false
        envkey_SOME_API_KEY: "123456abcdef"
        envkey_SECRET_KEY: ${{ secrets.SECRET_KEY }}
        file_name: .env

根据您在 github 存储库中为机密定义的值，这将创建一个 .env 文件，如下所示：

DEBUG: false
SOME_API_KEY: "123456abcdef"
SECRET_KEY: password123

更多信息：https://github.com/marketplace/actions/create-env-file

Answer 7

我遇到了同样的问题。我想要的是将 .env 文件上传到我的服务器，而不是在我的 Github 存储库中定义 env 变量。由于我没有跟踪我的 .env 文件，所以每次我的工作流程运行时 .env 文件都会被删除。所以我所做的是：

1. 在我的服务器项目根目录中添加了.env文件。
2. 在我的工作流程中的actions/checkout@v2 中的with 键下添加了clean: false

例如：

jobs:
  build:

    runs-on: self-hosted

    strategy:
      matrix:
        node-version: [14.x]
       
    - uses: actions/checkout@v2
      with: 
        clean: 'false'

这可以防止 git 删除未跟踪的文件，例如 .env。欲了解更多信息，请参阅：actions/checkout

Answer 8

我尝试使用公认的解决方案，但 GitHub 操作抱怨 shell 命令。我不断收到此错误：line 3: unexpected EOF while looking for matching ``'

我没有直接在 shell 脚本中引用秘密，而是将它们单独传递。

  - name: Create env file
    run: |
      touch .env
      echo POSTGRES_USER=${POSTGRES_USER} > .env
      echo POSTGRES_PASSWORD=${POSTGRES_PASSWORD} > .env
      cat .env
    env: 
      POSTGRES_USER: ${{ secrets.POSTGRES_USER }} 
      POSTGRES_PASSWORD: ${{ secrets.POSTGRES_PASSWORD }} 

Answer 9

另一种方法是按照https://docs.github.com/en/actions/security-guides/encrypted-secrets#limits-for-secrets 中的描述进行操作

所以基本上将您的.env 文件视为“大秘密”。在这种情况下，加密的.env 文件会保留在您的存储库中，这应该没问题。然后在您的操作中有一个步骤来解密.env 文件。

这消除了必须在 .env 中创建每个单独的秘密作为 Github 秘密的开销。在这种情况下，唯一需要维护的 Github 密码是加密密码。如果您有多个.env 文件，例如qa.env、prod.env 等...我强烈建议为每个文件使用不同的加密密码，然后将每个加密密码作为“环境机密”存储在 Github 中，而不是“repo secret”（如果您喜欢使用 Github 环境。请参阅https://docs.github.com/en/actions/deployment/targeting-different-environments/using-environments-for-deployment）。

如果您不想在您的存储库中提交（加密的）.env 文件，那么我将使用https://stackoverflow.com/a/64452700/1806782 中描述的 base64 方法（类似于https://docs.github.com/en/actions/security-guides/encrypted-secrets#storing-base64-binary-blobs-as-secrets 中的内容），然后创建用于托管编码内容的新 Github 密码。

对于像我这样讨厌手动重复性任务的人来说，如今可以使用 Github CLI 工具轻松编写 Github 秘密创建脚本。看 https://cli.github.com/manual/gh_secret_set 。它还支持从 env 文件“批量”创建秘密（参见 -f、--env-file 标志）

Answer 10

您需要在存储库的“秘密”部分定义环境变量。然后，您可以在工作流程中简单地使用您的秘密。

示例用法：

- uses: some-action@v1
  env:
    API_KEY: ${{ secrets.API_KEY }}
    SECRET_ID: ${{ secrets.SECRET_ID }}
  with:
    password: ${{ secrets.MY_PASSWORD }}

这是文档：

https://help.github.com/en/actions/configuring-and-managing-workflows/creating-and-storing-encrypted-secrets