变量掩码是什么
变量掩码（Masked Variables）把敏感变量在日志中替换为掩码：GitLab 的掩码变量在保存时校验格式（单行、长度与字符集要求），GitHub 的 secrets 在工作流日志里自动掩码。它的定位是兜底而不是保密手段——只处理「意外输出」的原始形式，对拼接、base64、URL 编码等变形值不保证覆盖，对调试转储同样不保证覆盖。正确姿势是从源头避免输出敏感值，掩码只做最后一道薄防护。
基本信息
| GitLab | 掩码变量需满足长度与字符集要求（单行、8 位以上等），否则保存即报错 |
|---|---|
| GitHub | secrets 在工作流日志中自动掩码；对拼接、编码后的变形值不保证覆盖 |
| 原则 | 不打印敏感值；掩码只处理「意外输出」 |
| 注意 | 掩码只匹配原始形式，变形输出基本都会绕过 |
典型使用场景
- 防止误打印：脚本调试时变量被意外 echo，日志里显示为掩码而不是明文。
- 排障审查：GitLab 掩码变量保存即校验格式，顺带清理不符合规范的脏变量。
- 合规要求：日志外发与留存前的过滤要求，掩码是其中一环。
- 审计巡检：定期用敏感模式检索日志，发现漏网输出后轮换凭据。
- 与密钥管理配套：掩码负责日志侧，secrets 存储与权限负责访问侧。
不要这样做
不要这样做
set -x # 会回显展开后的命令
env | sort # 可能打印全部变量
echo "$SECRET" # 直接输出
# 需要确认变量存在时, 只输出无关信息:
[ -n "$TOKEN" ] && echo "token is set"平台行为对比
| 平台 | 机制 | 限制 |
|---|---|---|
| GitLab | 变量级掩码开关 | 格式不满足保存失败 |
| GitHub | secrets 日志自动掩码 | 变形值不保证覆盖 |
| 通用 | 输出过滤器 | 不能防编码/拼接变形 |
通过 base64、分段拼接等方式改形的值通常绕过掩码：从源头避免输出，泄露后删日志与轮换凭据才是止损。
掩码之外的三件事：变量作用域最小化（只在需要的环境/分支可用）、定期轮换凭据、日志留存策略——泄露发生时才能快速止损。