請幫我新增 CLAUDE_API_KEY secret #497

Activity

1. squimi1222

   added

   enhancementNew feature or requestNew feature or request

   triageAwaiting maintainer reviewAwaiting maintainer review

   on Oct 19, 2026
2. github-actions commented on Oct 19, 2026

   

   github-actionsBot

   on Oct 19, 2026 – with GitHub Actions

   Contributor

   More actions

   感謝你提出這個需求，也謝謝你先把步驟寫得這麼清楚。不過這件事我沒辦法代為執行，原因如下。

   1. 我無法（也不應該）替你把 API key 寫進 repo secret

   Repository secret 只有具備 admin 權限的維護者能在 repo settings 新增，而且 secret 的值必須由「知道那把 key 的人」親自輸入。你的 Claude API key 只有你有，維護者無法從這裡取得；就算能，把個人 key 貼進公開 issue 或轉交給第三方，等於直接洩漏憑證，這違反 repo 對憑證處理的硬約束。

   2. 目前 repo 沒有任何 workflow 會讀取 CLAUDE_API_KEY

   現有自動化讀的是 OpenAI 相容的 secret，而不是 Claude 的：

   • .github/workflows/issue-auto-response.yml:114 — DEFAULT_API_KEY: ${{ secrets.OPENAI_API_KEY }}
   • .github/workflows/issue-auto-response.yml:115 — DEFAULT_BASE_URL: ${{ secrets.OPENAI_BASE_URL }}
   • .github/workflows/codex-pr-review.yml:101 — DEFAULT_API_KEY: ${{ secrets.OPENAI_API_KEY }}
   • .github/workflows/codex-pr-review.yml:102 — DEFAULT_BASE_URL: ${{ secrets.OPENAI_BASE_URL }}

   也就是說，即使真的新增了 CLAUDE_API_KEY，在你提到的那個 workflow 檔案被 merge 之前它也不會被任何 job 使用；反過來說，先有 workflow 變更、再由維護者決定用哪一組 secret，才是可行的順序。

   3. 專案的 BYOK 約束

   CLAUDE.md 的硬約束第 2 條是 BYOK only：使用者憑證留在本機 ~/.config/open-codesign/config.toml（權限 0600），不做代理呼叫、不建雲端帳號。這是產品執行期的規則；CI secret 屬於自動化範疇（硬約束第 4 條允許 workflow-only 工具），但把某位貢獻者的個人 key 掛成 repo 級 secret，會讓所有觸發 pull_request_target 之類事件的 job 都能用到它，維護者通常不會接受這種安排。

   你可以自己推進的部分

   • 把 workflow 檔案先準備成 PR，內容引用 ${{ secrets.CLAUDE_API_KEY }}，但不要把 key 貼在 PR、issue 或 commit 裡。維護者審閱後再決定是否建立該 secret、以及用誰的 key。
   • 若你想先自行驗證，可以在自己的 fork 設定 secret：gh secret set CLAUDE_API_KEY --repo <你的帳號>/open-codesign，並在 fork 上跑 workflow。這樣完全不需 upstream 的 admin 權限。

   安全提醒

   如果你已經把這把 Claude API key 貼到任何公開或半公開的地方（issue、gist、commit、貼圖），請立刻到 Anthropic Console 撤銷並重新產生一把。

   Need more info:

   • 這個 secret 是要給哪一個 workflow／job 使用？有既有的 workflow 檔案或 PR 編號嗎？
   • 要用哪個 Claude 模型 ID 與端點？
   • 這把 key 的費用與擁有者是誰（個人 fork 用，還是專案共用）？若為後者，維護者需要另外決定 key 的保管方式。
   • 能不能改走 fork + 自己的 secret 這條路？若可以，PR 只需要 workflow 變更，不需要 upstream secret。

   ---

   Open-CoDesign Bot