本文旨在解决 github actions 工作流中，将多行 pem 密钥从github secret 传递给 环境变量 时遇到的 yaml 解析错误。通过采用 yaml 的多行 字符串 字面量（`|` 符号），可以确保 pem 密钥的完整性和正确解析，避免因特殊字符或换行符引起的配置问题，从而实现密钥的安全有效使用。
在 自动化 工作流中，尤其是在持续集成 / 持续部署（CI/CD）环境中，安全地管理和传递敏感信息至关重要。gitHub Actions 作为流行的 CI/CD 平台，允许用户通过 Secrets 存储 敏感数据 ，例如 API 密钥、 数据库 凭证或 ssh/PEM 私钥。然而，当这些密钥是多行字符串格式（如。pem 文件内容）时，直接将其赋值给 环境变量 可能会导致 YAML 解析错误，中断工作流的执行。
理解问题：YAML 解析挑战
PEM 格式的私钥通常包含多行文本，例如：
当尝试在github Actions 工作流中，将一个存储在 Secret 中的多行 PEM 密钥直接通过双引号或单引号赋值给环境变量时，YAML 解析器可能会错误地将其中的 —–BEGIN 或 —–END 等标记识别为 YAML 文档的分隔符，或者将换行符解析为无效的语法，从而抛出类似“Error parsing STDIN: invalid Yaml document separator: –END RSA PRIVATE KEY—–“ 的错误。
错误的配置示例：
在这种情况下，即使使用了双引号，YAML 解析器也可能无法正确处理密钥中的多行结构和特殊字符。
解决方案：使用 YAML 多行字符串字面量
解决此问题的关键在于正确地告诉 YAML 解析器，变量内容是一个包含多行文本的字符串，而不是需要进一步解析的结构。YAML 提供了两种处理多行字符串的方式：折叠式（folded style, >）和字面量式（literal style, |）。对于 PEM 密钥这种需要保留所有换行符和空格的精确格式，字面量式（|）是最佳选择。
字面量式（|） 会将后续缩进块内的所有内容视为一个字符串，并保留所有换行符。
正确的配置示例：
- name: 执行特定步骤 run: echo " 执行命令，使用 PEM 密钥……" env: GITHUBAPP_KEY: | # 使用管道符号 ${{secrets.GITHUBAPP_KEY}}通过在环境变量名后面紧跟一个管道符号 |，YAML 解析器会将 GITHUBAPP_KEY 的值视为一个字面量多行字符串。secrets.GITHUBAPP_KEY 中的所有内容，包括换行符，都将被完整地传递给环境变量，而不会引起 YAML 解析错误。
实践建议与注意事项
- 密钥管理： 始终将敏感密钥存储在 GitHub 仓库的 Secrets 中，而不是直接硬 编码 在工作流文件中。这提供了更高的安全性，并允许密钥的集中管理和轮换。
- YAML 多行字符串： 理解 YAML 中 |（字面量式）和 >（折叠式）的 区别。
- |：保留所有换行符，适合需要精确格式的文本，如 PEM 密钥、脚本内容。
- >：将换行符折叠为空格，除了段落之间的空行，适合普通的多行文本。
- 测试验证： 在部署生产工作流之前，务必通过运行测试工作流来验证密钥是否正确传递和使用。可以在 run 步骤中添加一个简单的命令来检查环境变量是否被正确设置，例如 echo “$GITHUBAPP_KEY” | head -n 1。
- Secret 内容： 确保你在 GitHub Secret 中存储的 PEM 密钥内容是干净的，没有额外的空白字符或不必要的换行符，尽管 | 符号可以很好地处理原始格式，但保持内容整洁是良好的实践。
总结
在 GitHub Actions 工作流中处理多行 PEM 密钥时，避免 YAML 解析错误的最佳实践是利用 YAML 的字面量多行字符串语法（|）。这种方法简单而有效，确保了敏感密钥能够以其原始、完整的格式安全地传递到工作流环境中，从而保证了自动化任务的顺利执行。掌握这一技巧，可以显著提升 GitHub Actions 工作流的稳定性和安全性。
