Github Actions 是 Github 提供的免费自动化构建实现，特别适用于持续集成和持续交付的场景，它具备自动化完成许多不同任务的能力，例如构建、测试和部署等等。

一、简单介绍

用户只需要在自己 Github 的开源项目下创建 .github/workflows 脚本就可以完成接入，另外针对 Github Actions 官方还提供了 marketplace 用于开发者提交或者引用别人写好的 aciton ，所以很多时候开发者在使用 Github Actions 时，其实会变成了在 marketplace 里挑选和组合 action 的场景。当然，这样各有利弊，后面我们会讲到 。

image.png

要在 Github 存储库中使用 Github Actions，首先需要创建目录.github/workflows/，然后在 workflows 文件夹里创建不同的 .yml 文件用于响应或者执行不同的事件，比如 git push 、pull request 等，例如：

name: GitHub Actions Demo
on: [push]
jobs:
  Explore-GitHub-Actions:
    runs-on: ubuntu-latest
    steps:
      - run: echo "🎉 The job was automatically triggered by a ${{ github.event_name }} event."
      - run: echo "🐧 This job is now running on a ${{ runner.os }} server hosted by GitHub!"
      - run: echo "🔎 The name of your branch is ${{ github.ref }} and your repository is ${{ github.repository }}."
      - name: Check out repository code
        uses: actions/checkout@v2
      - run: echo "💡 The ${{ github.repository }} repository has been cloned to the runner."
      - run: echo "🖥️ The workflow is now ready to test your code on the runner."
      - name: List files in the repository
        run: |
          ls ${{ github.workspace }}
      - run: echo "🍏 This job's status is ${{ job.status }}."

上面是 Github doc 里关于 Action 的一个基本的工作流 yml 文件，具体参数含义 ：

• name：这表示该工作流文件的名称，将在 Github 的 actions 选项卡作为名称显示 ；
• on：这将触发该工作流的事件名称，它可以包含事件列表，例如这里监听的事 push；
• jobs：每个工作流会包含一个或多个 jobs ，在这里只有一个，主要是用于表示不同工作任务；
• Explore-GitHub-Actions ：这是工作 ID，你也可以根据自己的需要命名，会在 action 的执行过程中显示；
• runs-on：jobs 需要运行在虚拟机上，在这里中使用了 ubuntu-latest，当然你也可以使用windows-latest 或者 macos-latest；
• steps：每个 jobs 可以将需要执行的内容划分为不同步骤；
• run：用于提供执行命令，例如这里使用了echo 打印日志；
• name： steps 里的 name 是可选项，主要是在日志中用来做标记的；
• uses ：使用一些官方或者第三方的 actions 来执行，例如这里使用官方的 actions/checkout@v2，它会check-out 我们的 repo ，之后工作流可以直接访问 repo 里的文件；

在 GitHub 仓库添加完对应的 .github/workflows/ci.yml 文件之后，以后每次 push 都可以触发 action 的自动执行，以此来完成可持续的自动集成和构建能力。

二、构建 Flutter 和发布到 Github Release

简单介绍完 Github Action ，接着我们介绍如何利用 Github Action 构建 Flutter 和发布 apk 到 Github Release，如下代码所示是 gsy_github_app_flutter 项目里使用到的 github action 脚本：

name: CI

on:
  push:
    branches:
      - master
    tags:
      - '*'
  pull_request:
    paths-ignore:
      - '**/*.md'
      - '**/*.txt'
      - '**/*.png'
      - '**/*.jpg'

jobs:
  build:
    name: Build
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v2
      - uses: actions/setup-java@v2
        with:
          distribution: 'zulu'
          java-version: 11
      - uses: subosito/flutter-action@v1
        with:
          flutter-version: '2.8.1'
      - uses: finnp/create-file-action@master
        env:
          FILE_NAME: lib/common/config/ignoreConfig.dart
          FILE_DATA: class NetConfig { static const CLIENT_ID = "${{ secrets.CLIENT_ID }}"; static const CLIENT_SECRET = "${{ secrets.CLIENT_SECRET }}";}
      - run: flutter pub get
      - run: flutter build apk --release --target-platform=android-arm64 --no-shrink

  apk:
    name: Generate APK
    if: startsWith(github.ref, 'refs/tags/')
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@v2
      - name: Setup JDK
        uses: actions/setup-java@v2
        with:
          distribution: 'zulu'
          java-version: 8
      - uses: subosito/flutter-action@v1
        with:
          flutter-version: '2.5.3'
      - uses: finnp/create-file-action@master
        env:
          FILE_NAME: lib/common/config/ignoreConfig.dart
          FILE_DATA: class NetConfig { static const CLIENT_ID = "${{ secrets.CLIENT_ID }}"; static const CLIENT_SECRET = "${{ secrets.CLIENT_SECRET }}";}
      - run: flutter pub get
      - run: flutter build apk --release --target-platform=android-arm64 --no-shrink
      - name: Upload APK
        uses: actions/upload-artifact@v2
        with:
          name: apk
          path: build/app/outputs/apk/release/app-release.apk
  release:
    name: Release APK
    needs: apk
    if: startsWith(github.ref, 'refs/tags/')
    runs-on: ubuntu-latest
    steps:
      - name: Download APK from build
        uses: actions/download-artifact@v2
        with:
          name: apk
      - name: Display structure of downloaded files
        run: ls -R

      - name: Create Release
        id: create_release
        uses: actions/create-release@v1.1.4
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        with:
          tag_name: ${{ github.ref }}
          release_name: ${{ github.ref }}
      - name: Upload Release APK
        id: upload_release_asset
        uses: actions/upload-release-asset@v1.0.1
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        with:
          upload_url: ${{ steps.create_release.outputs.upload_url }}
          asset_path: ./app-release.apk
          asset_name: app-release.apk
          asset_content_type: application/zip

根据上述脚本，首先可以看到：

• 在 push 事件里我们指定了只监听 master 分支和 tags 相关的提交；

• 然后在 pull_request 事件里忽略了关于 .md、 .text 和图片相关的内容，也就是这部分内容提交不触发 action ，具体可以看你自己的需求；

• 接着进入到 jobs 里，首先不管是 push 还是 pull_request 都会执行到 Build 事件，运行在 ubuntu-latest 虚拟机上，之后利用 actions/checkout@v2 checkout 代码；

• 接着使用 actions/setup-java@v2 配置 java 环境，这里使用的是 Zulu OpenJDK 版本 11 ，下面表格是 setup-java 支持的可选 java 类型；

  Keyword	Distribution	Official site	License
  temurin	Eclipse Temurin	Link	Link
  zulu	Zulu OpenJDK	Link	Link
  adopt or adopt-hotspot	Adopt OpenJDK Hotspot	Link	Link
  adopt-openj9	Adopt OpenJDK OpenJ9	Link	Link
  liberica	Liberica JDK	Link	Link
  microsoft	Microsoft Build of OpenJDK	Link	Link

• 接着就是使用第三方的 subosito/flutter-action@v1 配置 flutter 环境，直接通过 flutter-version: '2.8.1' 指定了 Flutter 版本；

• 接着是使用第三方的 finnp/create-file-action@master 创建文件，因为 gsy_github_app_flutter 项目有一个配置文件是需要用户根据自己的 ID 和 SECRET 手动创建，所以这里通过 create-file-action 创建文件并输入内容；

• 在上述输入内容部分，有一个 secrets.xxx 的参数，因为构建时需要将自己的一些密钥信息配置到 action 里，所以如下图所示，可以在 Settings 的 Secrets 里添加对应的内容，就可以在 action 里通过 secrets.xxx 读取；

• 接着配置好环境之后，就可以执行 flutter pub get 和 flutter build apk 执行构建；

完成 Build 任务的逻辑介绍之后，可以看到在 Build 任务下面还有一个 apk 任务，该任务基本和 Build 任务一直，不同之处在于：

• 多了一个 if: startsWith(github.ref, 'refs/tags/') ，也就是存在 tag 的时候才会触发该任务执行；
• 多了一个 actions/upload-artifact@v2 用于将构建出来的 build/app/outputs/apk/release/app-release.apk上传，并等到 release 任务内使用；

完成 apk 任务之后，会进入到 release 任务，该任务同样通过 if 指定了只在 tag 提交时运行：

• 任务首先会通过 actions/download-artifact@v2 下载刚刚上传的 apk；
• 然后就通过 actions/create-release@v1.1.4 创建一个 release 版本，这里使用的 secrets.GITHUB_TOKEN 是官方内置的 secrets ，我们直接使用就可以了；
• 最后通过 actions/upload-release-asset@v1.0.1 将 apk 上传到刚刚创建的 release 版本里，自此就完成了 action 的发布流程；

可以看到整个过程其实都是在组合不同的 action ，可以很灵活方便地配置构建逻辑，例如如果你的项目是单纯的 android sdk 项目，那同样可以通过如下脚本进行发布管理：

name: CI

on:
  push:
    branches:
      - master
    paths-ignore:
      - '.idea/**'
      - '.gitattributes'
      - '.github/**.json'
      - '.gitignore'
      - '.gitmodules'
      - '**.md'
      - '**/*.txt'
      - '**/*.png'
      - '**/*.jpg'
      - 'LICENSE'
      - 'NOTICE'
  pull_request:
    paths-ignore:
      - '.idea/**'
      - '.gitattributes'
      - '.github/**.json'
      - '.gitignore'
      - '.gitmodules'
      - '**.md'
      - '**/*.txt'
      - '**/*.png'
      - '**/*.jpg'
      - 'LICENSE'
      - 'NOTICE'

jobs:
  publish:
    name: Publish to MavenLocal
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - uses: actions/setup-java@v3
        with:
          distribution: 'zulu'
          java-version: 17
      - uses: gradle/gradle-build-action@v2
        with:
          arguments: publishToMavenLocal

  build:
    name: Build
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - uses: actions/setup-java@v3
        with:
          distribution: 'zulu'
          java-version: 17
      - uses: gradle/gradle-build-action@v2
        with:
          arguments: app:assembleDebug

当然，如果你需要打包的是 iOS ，那么你就需要使用 macos-latest 的环境，另外还需要配置相关的开发者证书，这个过程可能会比较难受，相关可以参考 《Flutter 搭建 iOS 命令行服务打包发布全保姆式流程》 。

三、隐私安全问题

最后，关于 Github Actions 之前存在过出现泄露敏感数据的问题，比如 Github 的 Token 等 ，举个例子，如上面的脚本，它在执行任务时都会需要秘钥 ，如果你使用的第三方 action 在执行过程中获取了你的密钥并干了一些“非法” 的事情，就可能出现异常泄漏问题。

所以一般情况下建议大家都要去看下非官方的脚本实现里是否安全，但是由于 tag 和 branch 是可以修改，所以建议不要@分支或tag，而是应该 checkout 对应的提交哈希，这样有利于你审查使用时的脚本是否安全。

另外，例如还有人提到可以通过 pull_request 来恶意攻击获取对应隐私：

• 1、fork 一个正在使用 GitHub Actions 的公开代码库；

• 2、创建一个基于该项目的 pull 请求；

• 3、使用 pull_request_target 事件创建一个恶意 Actions 工作流，然后单独向该 fork 库 commit；

• 4、将第二步基分支的 pull 请求更新为第三步的 commit 哈希；

之后恶意 Actions 工作流就会运行，并从目标 repos 里获取到执行过程的敏感数据，此时攻击者将拥有对目标存储库的写访问权限，除此之外他们还可以通过 GitHub 访问与仓库之成的任何服务。

所以虽然 GitHub Action 很便捷，但是如果出于商业考虑的话，还需要谨慎抉择安全问题。