Как GitHub Actions осигурява сигурност и получава достъп до скрити секретни данни като ключове и токени?

GitHub Actions осигурява сигурността на секретните данни чрез механизма "Secrets" — специални променливи на околната среда, които се съхраняват криптирани и са достъпни само по време на изпълнение на workflow. Достъпът до тях е ограничен: те не се показват в логовете и не могат да бъдат получени директно от кода.

При стартиране на workflow, секретите автоматично се вмъкват в околната среда, и действията (actions) могат да ги използват, например за удостоверяване или достъп до API. За да се предотвратят изтичания, GitHub забранява показването на секрети в логовете и ограничава достъпа до тях само до доверени workflow и клонове.

Пример за използване на секрет в workflow:

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v2
      - name: Use secret
        run: echo "${{ secrets.MY_SECRET }}"

Тук, MY_SECRET е секрет, конфигуриран в настройките на репозитория.