本文介绍了在github actions中将包含多行内容的pem密钥作为环境变量传递时，可能遇到的yaml解析错误。通过采用yaml的多行字符串字面量（`|`）语法，可以有效解决因换行符和特殊字符导致的解析问题，确保敏感密钥的正确赋值和工作流的顺利执行。
在自动化工作流中，尤其是在持续集成/持续部署（CI/CD）环境中，经常需要处理敏感信息，例如SSH私钥、API密钥或证书。这些密钥通常以.pem格式存在，其特点是包含多行文本，包括头部、主体和尾部标记，并由换行符分隔。当尝试将这类多行密钥从GitHub Secrets传递到GitHub Actions工作流的环境变量时，可能会遇到YAML解析错误，导致工作流失败。
问题分析：多行密钥与YAML解析
GitHub Actions工作流的定义文件是基于YAML格式的。当我们将一个存储在GitHub Secrets中的多行密钥直接赋值给一个环境变量时，例如：
- name: 执行特定步骤
run: 你的命令
env:
GITHUBAPP_KEY: "${{ secrets.GITHUBAPP_KEY }}"如果secrets.GITHUBAPP_KEY包含换行符（例如一个.pem文件内容），YAML解析器可能会将其中的换行符或某些特殊字符误解为YAML文档的分隔符或语法错误，从而抛出类似error parsing STDIN: invalid Yaml document separator的错误。这是因为YAML的普通字符串解析方式不适用于包含复杂多行结构且需要精确保留原始格式的文本。
解决方案：使用YAML多行字符串字面量（Literal Block Scalar）
解决此问题的关键是利用YAML提供的多行字符串字面量（Literal Block Scalar）语法，即使用管道符号 |。这种语法指示YAML解析器将后续缩进块中的所有内容视为一个单一的字符串值，包括其中的所有换行符和空白字符，从而完美地保留了多行密钥的原始格式。
以下是正确传递多行PEM密钥的示例：
- name: 执行特定步骤
run: 你的命令
env:
GITHUBAPP_KEY: |
${{ secrets.GITHUBAPP_KEY }}解释：
- GITHUBAPP_KEY: |: 管道符号 | 告诉YAML解析器，GITHUBAPP_KEY 的值将是一个多行字符串。
- ${{ secrets.GITHUBAPP_KEY }}: 紧随其后的缩进行（通常是两个空格或更多，与父级缩进保持一致）将包含从GitHub Secrets中获取的实际密钥内容。GitHub Actions会在运行时将secrets.GITHUBAPP_KEY的实际值插入到这里。由于使用了 |，即使密钥内容包含多行，它也会被完整地作为一个字符串传递给GITHUBAPP_KEY环境变量。
最佳实践与注意事项
- 使用GitHub Secrets管理敏感信息：始终将敏感密钥存储在GitHub Secrets中，而不是直接硬编码在工作流文件中。这提供了更好的安全性，并允许密钥在不修改代码的情况下进行轮换。
- 理解YAML多行字符串样式：除了 | (literal block scalar) 外，YAML还提供了 > (folded block scalar) 样式。| 会保留所有换行符和内部空白，而 > 会将换行符折叠为空格（除非是空行或缩进的行），更适合于长段落文本。对于需要精确保留格式的密钥文件，| 是更安全和推荐的选择。
- 测试与验证：在部署到生产环境之前，务必通过实际运行工作流来测试密钥的传递和使用是否正确。可以通过在工作流中打印环境变量（但要注意不要在日志中暴露敏感信息）或通过后续命令验证密钥是否有效来确认。
- 避免在日志中暴露密钥：尽管在调试时可能需要验证环境变量内容，但绝不能在GitHub Actions的日志中直接打印敏感密钥。可以使用星号或其他占位符进行部分显示，或者仅验证密钥是否存在而非其完整内容。
总结
在GitHub Actions中处理多行密钥（如PEM文件）作为环境变量时，理解YAML的字符串解析机制至关重要。通过采用YAML的多行字符串字面量 | 语法，可以有效地避免因换行符导致的解析错误，确保敏感密钥能够安全、准确地传递到工作流中，从而保障自动化流程的顺利执行和安全性。
