Cara Memakai Secrets GitHub Actions: Variables, Scope, Fork

• Secret kosong di dalam job

  Ekspresi untuk secret yang tidak dimiliki run akan mengembalikan string kosong, jadi step tetap berjalan dengan nilai kosong. Cek berurutan: job berjalan dari pull request fork atau dari Dependabot, yang tidak mendapat secret; secret-nya milik environment tetapi job tidak punya key environment:; reusable workflow dipanggil tanpa meneruskan secret; atau namanya ditulis berbeda.

• Kondisi yang membaca secret

  if: secrets.DEPLOY_KEY != '' terlihat masuk akal, tetapi context secrets tidak tersedia di key if:. Jadikan secret itu entri env: di level job, lalu tulis kondisi step sebagai if: env.DEPLOY_KEY != '', pola yang didokumentasikan GitHub.

• Secret tetap muncul di log

  Redaksi hanya mencocokkan apa yang diketahui runner, jadi salinan yang diubah bentuknya, nilai di dalam gumpalan JSON, atau token turunan dari secret bisa tercetak apa adanya. Hapus log-nya dan rotasi secret-nya lebih dulu. Lalu simpan satu nilai per secret, daftarkan nilai turunan dengan ::add-mask::, dan berhenti mencetak nilainya sama sekali.

• pull_request_target mem-build kode fork dengan secret Anda

  Sebuah workflow diganti ke pull_request_target agar pull request dari fork bisa menjangkau secret, lalu checkout head pull request dan menjalankan npm install. Kode fork kini berjalan dengan token dan secret Anda. Tetap jalankan build kode fork di pull_request, dan pakai pull_request_target hanya untuk pekerjaan tepercaya seperti memberi label.

1. 1

   Buat repository uji dengan README, supaya sudah punya branch main, lalu clone.

   gh repo create secrets-lab --public --clone --add-readme
   cd secrets-lab

   Salin
2. 2

   Isi satu secret dan satu variable. gh secret list menampilkan nama dan kapan diubah, tidak pernah nilainya; gh variable list ikut menampilkan nilainya.

   gh secret set DEMO_SECRET --body "practice-only"
   gh variable set DEMO_GREETING --body "hello from a variable"
   gh secret list
   gh variable list

   Salin
3. 3

   Tambahkan workflow yang membaca keduanya lewat env: di level job, menjalankan satu step hanya jika secret-nya sampai, dan menyamarkan nilai yang dibuatnya sendiri. Commit lalu push.

   mkdir -p .github/workflows
   cat > .github/workflows/lab.yml <<'EOF'
   name: Secrets lab
   on: [push, pull_request]
   permissions:
     contents: read
   jobs:
     show:
       runs-on: ubuntu-latest
       env:
         DEMO_SECRET: ${{ secrets.DEMO_SECRET }}
         DEMO_GREETING: ${{ vars.DEMO_GREETING }}
       steps:
         - name: Print a variable and a secret
           run: |
             echo "Variable: $DEMO_GREETING"
             echo "Secret: $DEMO_SECRET"
         - name: Run only when the secret arrived
           if: env.DEMO_SECRET != ''
           run: echo "The secret reached this run"
         - name: Mask a value you made yourself
           run: |
             derived="lab-$RANDOM"
             echo "::add-mask::$derived"
             echo "Derived: $derived"
   EOF
   git add .github
   git commit -m "Add a secrets lab workflow"
   git push

   Salin
4. 4

   Tunggu beberapa detik sampai run dimulai, lalu pantau dan baca log-nya. Variable tercetak sesuai ketikan, sedangkan secret dan nilai turunan tampil sebagai ***.

   run_id=$(gh run list --limit 1 --json databaseId --jq '.[0].databaseId')
   gh run watch "$run_id"
   gh run view "$run_id" --log | grep -E "Variable:|Secret:|Derived:|reached"

   Salin
5. 5

   Di browser, buka Settings, Environments, New environment. Beri nama lab, centang Required reviewers, tambahkan diri Anda, lalu simpan. Beri lab DEMO_SECRET miliknya sendiri dengan nilai yang lebih panjang, lalu tambahkan job yang menyebut environment itu. Run menunggu persetujuan Anda; setujui di halaman run, dan log mencetak Length 20, nilai milik environment, bukan 13.

   gh secret set DEMO_SECRET --env lab --body "lab-environment-only"
   cat >> .github/workflows/lab.yml <<'EOF'
     gated:
       if: github.event_name == 'push'
       runs-on: ubuntu-latest
       environment: lab
       steps:
         - name: Which DEMO_SECRET won?
           env:
             DEMO_SECRET: ${{ secrets.DEMO_SECRET }}
           run: echo "Length ${#DEMO_SECRET}"
   EOF
   git commit -am "Add a gated job"
   git push

   Salin
6. 6

   Dari akun kedua, fork secrets-lab, ubah README.md di fork itu, lalu buka pull request. Kalau GitHub meminta, setujui run-nya: kontributor pertama kali secara default butuh persetujuan. Di run itu, Secret: tidak mencetak apa pun setelah titik dua, dan step yang membutuhkan secret dilewati.

7. 7

   Hapus repository uji. Penghapusan butuh scope delete_repo, dan --yes hanya melewati konfirmasi jika Anda menyebut repository-nya sebagai owner/name.

   cd ..
   gh auth refresh -s delete_repo
   gh repo delete YOUR-USER/secrets-lab --yes

   Salin

Dari: 23. Cara Membuat Healthcheck Docker dan Memilih Restart Policy · 21. Belajar YAML untuk Pemula: Map, List, Quote, dan Jebakannya

1. 1.VPS_SSH_HOST di situs ini bukan password. Kenapa dijadikan secret, bukan variable?Lihat jawabannya

   Jawaban:Karena variable tercetak tanpa disamarkan, sedangkan secret disamarkan. Sebagai secret, alamat server tampil sebagai *** di setiap log run, bukan tertulis lengkap.

2. 2.Bagaimana menjalankan sebuah step hanya jika secret-nya terisi?Lihat jawabannya

   Jawaban:Context secrets tidak tersedia di if:. Salin secret ke entri env: di level job, lalu uji di kondisi step: if: env.NAME != ''.

3. 3.Job deploy menulis contents: read dan packages: read. Apa yang boleh dilakukan GITHUB_TOKEN-nya terhadap issues?Lihat jawabannya

   Jawaban:Tidak ada. Begitu blok permissions: menulis satu permission saja, setiap permission yang tidak ditulis diset ke none, jadi token itu hanya bisa membaca repository dan menarik package.

• secret scanning dan mencegah kebocoran kredensial di GitHub
• OIDC GitHub Actions: akses cloud tanpa secret berumur panjang
• strategi rotasi secret otomatis
• mengenkripsi secret di Git dengan SOPS dan age