reactjs - 带有 Github Actions 的 env 文件

Question

我正在使用 React 和 firebase。我有一个 .env将我的 secret 存储在我的项目的根目录中的文件。
如何访问 .env GitHub 工作流 yml 文件中的文件。
我应该如何进行最佳实践？

Answer 1

不要这样做
将其 checkin 您的 GitHub 项目是 super 坏主意 .在那里增加了重点，因为一旦 key 在您的 git 存储库中，您基本上就会遇到巨大的麻烦，并且撤消是一个巨大的麻烦。你永远不会，曾经想要将 key 提交到您的存储库。只是不要.1
相反，您需要做的是在您的组织/个人级别使用 GitHub Secrets，它们可以默认应用于您的项目，或者每个项目。这些可以在 GitHub 操作中使用，例如:

${{ secrets.SECRET_NAME }}

这些将根据 secret 值被替换。
GitHub Secrets 就像您的 .env 的安全版本。文件变量。

1 您可能认为拥有私有(private)存储库可以保护您，但事实并非如此。其他团队成员可能会下载此文件并无意中将其推送到其他地方。你可能会在不知不觉中开源它。错误发生是因为您假设您永远不会公开这些 key 。
2 当然，这些仅与 GitHub 一样安全，即使 GitHub 很难随便看到它们，也可能被具有足够高访问权限的人暴露。