azure - Azure Pipelines 中的 secret 变量

Question

我有一个 Azure 管道，需要访问 secret token 才能联系其他服务。我一直在关注documentation ，但它似乎没有按我的预期工作。作为一个最小的示例，我尝试将 cachix_token 中的变量写入文件。

  - bash: |
      set -ex
      mkdir -p packages
      echo $CACHIX_AUTH_TOKEN > packages/token
    env:
      CACHIX_AUTH_TOKEN: $(cachix_token)

但是，当我下载生成的 token 文件时，内容是文字

$(cachix_token)

如何让 yaml 替换 secret 变量？

更新

下面是我为管道定义 secret 变量的屏幕截图。

Answer 1

正如我最终发现的那样，Azure Pipelines 不允许 fork 访问 secret 变量。因此，即使 secret 变量是为管道定义的，如果您从 fork 而不是主存储库执行拉取请求，那么 secret 变量未定义，您将请参阅我上面解释的行为。

如 documentation 中所述，这可以通过管道 GUI 中的 Make Secrets available to builds of forks 复选框来绕过。然而，这确实打开了一个巨大的安全漏洞，任何人都可以制作恶意 PR，为他们提供您所有 secret 的逐字副本。