GitHub Actions secrets 与 vars

仓库/组织/环境三级配置：secrets 存敏感值（日志掩码），vars 存普通配置；作业容器经上下文引用，环境级在对应环境生效。

secrets	${{ secrets.NAME }}，不能直接用于 if 条件（需经 env）
vars	${{ vars.NAME }}，普通配置
层级	组织 / 仓库 / 环境
掩码	日志自动打码，但不等于万能保护

经 env 使用

env:
  REGION: ${{ vars.REGION }}
steps:
  - run: deploy --region "$REGION"
    env:
      TOKEN: ${{ secrets.REGISTRY_TOKEN }}

需要条件判断的敏感值先赋给 env：这是绕开 secrets 不能直接写进表达式的常规做法。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌