管理 Secrets 与环境变量
安全使用 GitHub Actions 的 Secrets、变量和环境，将凭据排除在代码之外，并控制部署
管理 Secrets 与环境变量 是 CoddyKit 上的免费 CI/CD with GitHub Actions & DevOps Pipelines 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 CI/CD with GitHub Actions & DevOps Pipelines 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 CI/CD with GitHub Actions & DevOps Pipelines 课程共包含 4 节课。
为什么必须谨慎处理机密信息
流水线需要令牌和密码才能访问制品仓库与云端目标。将它们硬编码会让任何拥有仓库访问权限的人都能获取它们——这正是机密信息要防止的情况。
机密信息存放在哪里
您可以在仓库、组织或环境设置中添加机密信息。机密信息在静态存储时会加密，并且只有以已屏蔽值的形式暴露给工作流。
使用机密信息
通过secrets上下文引用机密信息，然后将其作为环境变量或操作输入参数传递给一个步骤。这里它会传给部署脚本。
steps:
- name: Deploy
env:
API_TOKEN: ${{ secrets.API_TOKEN }}
run: ./deploy.sh机密信息会被屏蔽
GitHub 会自动将日志中的机密信息屏蔽为 ***。即便如此，也绝不要回显或持久化机密信息——base64 等转换可能绕过屏蔽机制，从而导致其泄露。
变量与机密信息
对于区域或构建标志等非敏感配置，请通过 vars 上下文使用变量。它们会显示在用户界面中；当其中不包含机密信息时，这没有问题。
env:
REGION: ${{ vars.AWS_REGION }}默认的 GITHUB_TOKEN
每次运行都会获得一个自动生成的GITHUB_TOKEN，用于向仓库进行身份验证。请通过 permissions 键严格限定其权限范围，遵循最小权限原则。
permissions:
contents: read
pull-requests: write环境
像预发布环境或生产环境这样的环境可以集中管理机密信息并添加保护规则，例如必需的审核者、等待计时器和分支限制，然后部署才会运行。
jobs:
deploy:
environment: production
runs-on: ubuntu-latest必需的审核者
使用受保护的环境时，部署作业会暂停，直到指定的审核者批准——这是生产环境前的一道人为控制关卡。
分叉 PR 的安全性
机密信息绝不会传递给来自分叉 PR的工作流，因此不受信任的贡献者无法窃取它们。请设计无需机密信息即可运行分叉 PR 的持续集成流程。
轮换机密信息
请将每条机密信息都视为可轮换的。当某条机密信息泄露或过期时，只需在设置中更新它——下一次运行会获取新值，无需修改任何代码。
最佳实践总结
操作指南是：敏感值使用机密信息，其余配置使用变量，严格限定 GITHUB_TOKEN 的权限范围，使用环境保护生产环境，并且绝不记录机密信息。
快速检查
机密信息还是变量、屏蔽还是可见——它们分别应该放在哪里？
回顾
现在您可以安全地管理机密信息和变量：以加密形式存储它们，通过 secrets 上下文读取，限定令牌权限范围，并通过环境为部署设置关卡。
常见问题解答
「管理 Secrets 与环境变量」课时是免费的吗？
是的 — 「管理 Secrets 与环境变量」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 CI/CD with GitHub Actions & DevOps Pipelines 课程的其余内容，请升级到 CoddyKit PRO。 CI/CD with GitHub Actions & DevOps Pipelines 课程共包含 4 节课。
「管理 Secrets 与环境变量」这节课中我会学到什么？
安全使用 GitHub Actions 的 Secrets、变量和环境，将凭据排除在代码之外，并控制部署 你通过在浏览器中直接运行的动手代码来练习 CI/CD with GitHub Actions & DevOps Pipelines，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 CI/CD with GitHub Actions & DevOps Pipelines 需要有经验吗？
无需任何先前经验。CoddyKit 上的 CI/CD with GitHub Actions & DevOps Pipelines 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「管理 Secrets 与环境变量」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 CI/CD with GitHub Actions & DevOps Pipelines 课中编写并运行代码吗？
能。每节 CI/CD with GitHub Actions & DevOps Pipelines 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 什么是 CI/CD 和 DevOps？
- GitHub Actions 核心概念
- 您的第一个 GitHub 工作流
- 管理 Secrets 与环境变量