本文旨在解决github actions工作流中，将多行pem密钥从github secret传递给环境变量时遇到的yaml解析错误。通过采用yaml的多行字符串字面量（`|`符号），可以确保pem密钥的完整性和正确解析，避免因特殊字符或换行符引起的配置问题，从而实现密钥的安全有效使用。
在自动化工作流中，尤其是在持续集成/持续部署（CI/CD）环境中，安全地管理和传递敏感信息至关重要。GitHub Actions作为流行的CI/CD平台，允许用户通过Secrets存储敏感数据，例如API密钥、数据库凭证或SSH/PEM私钥。然而，当这些密钥是多行字符串格式（如.pem文件内容）时，直接将其赋值给环境变量可能会导致YAML解析错误，中断工作流的执行。
理解问题：YAML解析挑战
PEM格式的私钥通常包含多行文本，例如：
-----BEGIN RSA PRIVATE KEY----- MIIEowIBAAKCAQEAr+... ... -----END RSA PRIVATE KEY-----
当尝试在GitHub Actions工作流中，将一个存储在Secret中的多行PEM密钥直接通过双引号或单引号赋值给环境变量时，YAML解析器可能会错误地将其中的-----BEGIN或-----END等标记识别为YAML文档的分隔符，或者将换行符解析为无效的语法，从而抛出类似“error parsing STDIN: invalid Yaml document separator: --END RSA PRIVATE KEY-----"的错误。
错误的配置示例：
- name: 执行特定步骤
run: echo "执行命令..."
env:
GITHUBAPP_KEY: "${{ secrets.GITHUBAPP_KEY }}" # 错误示范在这种情况下，即使使用了双引号，YAML解析器也可能无法正确处理密钥中的多行结构和特殊字符。
解决方案：使用YAML多行字符串字面量
解决此问题的关键在于正确地告诉YAML解析器，变量内容是一个包含多行文本的字符串，而不是需要进一步解析的结构。YAML提供了两种处理多行字符串的方式：折叠式（folded style, >）和字面量式（literal style, |）。对于PEM密钥这种需要保留所有换行符和空格的精确格式，字面量式（|）是最佳选择。
字面量式（|） 会将后续缩进块内的所有内容视为一个字符串，并保留所有换行符。
正确的配置示例：
- name: 执行特定步骤
run: echo "执行命令，使用PEM密钥..."
env:
GITHUBAPP_KEY: | # 使用管道符号
${{ secrets.GITHUBAPP_KEY }}通过在环境变量名后面紧跟一个管道符号 |，YAML解析器会将GITHUBAPP_KEY的值视为一个字面量多行字符串。secrets.GITHUBAPP_KEY中的所有内容，包括换行符，都将被完整地传递给环境变量，而不会引起YAML解析错误。
实践建议与注意事项
- 密钥管理： 始终将敏感密钥存储在GitHub仓库的Secrets中，而不是直接硬编码在工作流文件中。这提供了更高的安全性，并允许密钥的集中管理和轮换。
-
YAML多行字符串： 理解YAML中|（字面量式）和>（折叠式）的区别。
- |：保留所有换行符，适合需要精确格式的文本，如PEM密钥、脚本内容。
- >：将换行符折叠为空格，除了段落之间的空行，适合普通的多行文本。
- 测试验证： 在部署生产工作流之前，务必通过运行测试工作流来验证密钥是否正确传递和使用。可以在run步骤中添加一个简单的命令来检查环境变量是否被正确设置，例如 echo "$GITHUBAPP_KEY" | head -n 1。
- Secret内容： 确保你在GitHub Secret中存储的PEM密钥内容是干净的，没有额外的空白字符或不必要的换行符，尽管|符号可以很好地处理原始格式，但保持内容整洁是良好的实践。
总结
在GitHub Actions工作流中处理多行PEM密钥时，避免YAML解析错误的最佳实践是利用YAML的字面量多行字符串语法（|）。这种方法简单而有效，确保了敏感密钥能够以其原始、完整的格式安全地传递到工作流环境中，从而保证了自动化任务的顺利执行。掌握这一技巧，可以显著提升GitHub Actions工作流的稳定性和安全性。
