保姆级腾讯云助手配合 GitHub Actions自动优化适配腾讯云 SCF / 静态托管的 CI/CD 流水线 YAML适用人群已经在用 GitHub 管理代码、想一键把 Node/Python/Java 函数或前端静态站部署到腾讯云但被 AI 生成的 YAML 坑过的人。本文不科普GitHub Actions 基础on/jobs/steps 是什么你自己查。只做三件事教你把项目结构喂给腾讯云助手让它读懂你的工程再写流水线给出 SCF 云函数、静态托管两套可直接抄的完整流水线逐条拆解 AI 生成 YAML 的三大高频事故密钥泄露、权限不足、缓存异常AI 原始输出 VS 修正后版本。一、为什么 AI 写的腾讯云流水线总是看着对、跑不通AI 生成 GitHub Actions YAML 的失败率极高根因不是 AI 不懂 YAML而是它没看到你的项目结构入口文件在哪、构建产物在哪、有没有serverless.yml、锁文件package-lock.json是否提交——全靠猜它把通用套路硬套到腾讯云链路上GitHub 生态默认是 AWS/Netlify/Vercel 那套腾讯云需要SERVERLESS_PLATFORM_VENDOR: tencent、需要TENCENT_SECRET_ID/KEY、需要serverless.yml里做exclude防密钥入库这些腾讯云特有姿势AI 默认不会写它会在安全细节上翻车明文密钥、固定缓存 key、漏掉permissions三个雷一个不落。解决办法就一句话先喂上下文再让它写写完让它自审你只做终审。二、第一步让助手读懂你的项目可复制的提示词模板把下面这段提示词连同你的项目信息一起发给腾讯云助手它才能生成适配你的项目而不是适配所有项目的流水线。你是我的 CI/CD 流水线顾问请基于以下项目信息生成/审查 GitHub Actions 流水线。 【项目结构】 直接把目录树贴进来例如 . ├── serverless.yml # SCF 部署配置Web 函数 ├── package.json ├── package-lock.json ├── scf_bootstrap # Web 函数启动文件 ├── src/ │ └── index.js # 函数入口 └── .env # 含敏感配置绝不能打进部署包 【构建与部署目标】 - 构建命令npm run build产物目录 dist/ - 部署目标腾讯云 SCFWeb 函数区域 ap-guangzhou - 期望的触发方式push 到 main 时自动部署支持手动触发 【硬性约束违反任一条都算错误】 1. 密钥一律用 ${{ secrets.XXX }} 引用禁止出现任何明文 AK/SK禁止把 .env 写入部署产物 2. 显式声明 job 级 permissions遵循最小权限 3. 任何缓存 key 必须包含 hashFiles(**/package-lock.json)禁止用固定字符串当 key 4. action 一律用当前稳定版本checkoutv4、setup-nodev4、cachev4 5. 输出格式先给修正后的完整 YAML再逐条列出改了什么、为什么改。提示词里最容易漏、也最关键的是第 3、5 条。前者直接杜绝缓存永不失效后者让 AI 把决策过程暴露出来方便你抓它的错误逻辑。如果助手第一次给的不是你想要的追加一句话即可修正不用重新发一遍上面的 YAML 里 serverless.yml 没有 exclude .env请补上缓存 key 是固定字符串请改成 hashFiles 形式。三、腾讯云侧前置准备30 秒别跳过部署用的密钥不要用主账号的。正确姿势到 访问管理 CAM 创建子账号给子账号绑定最小权限策略只部署 SCFQcloudSCFFullAccess或更细的QcloudSCFReadOnlyAccess 资源级授权只部署静态托管COSQcloudCOSFullAccess两者都要两个都绑不要绑AdministratorAccess拿到该子账号的 SecretId / SecretKey到 GitHub 仓库Settings → Secrets and variables → Actions新增TENCENT_SECRET_ID/TENCENT_SECRET_KEYSCF、COS 通用ENV_ID走云开发静态托管才需要COS_BUCKET走 COS 静态托管才需要格式为桶名-APPID如my-site-1250000000权限不足类报错的 90% 都发生在这一环节用了根账号密钥风险大或子账号没绑策略报AuthFailure/UnauthorizedOperation。四、场景 ASCF 云函数Web 函数完整流水线4.1 完整流水线片段修正版可直接抄name:deploy-scf-webon:push:branches:[main]paths:# 只动到相关文件才触发省 Actions 分钟数-src/**-serverless.yml-package.json-package-lock.jsonworkflow_dispatch:{}# 支持手动触发方便回滚验证concurrency:# 防止连续 push 的并发部署互相覆盖group:deploy-scf-${{github.ref}}cancel-in-progress:truejobs:build-and-deploy:runs-on:ubuntu-latesttimeout-minutes:15permissions:# 显式声明最小权限contents:read# checkout 需要actions:write# actions/cache 保存缓存需要缺了会报权限错误steps:-name:Checkoutuses:actions/checkoutv4-name:Setup Nodeuses:actions/setup-nodev4with:node-version:20cache:npm# setup-node 自带缓存key 自动包含 lockfile 哈希-name:Install Buildrun:|npm ci # 必须用 ci要求 lockfile 存在且一致 npm run build-name:Deploy to SCFuses:woodyyan/tencent-serverless-actionmain# 腾讯云官方 Serverless Actionenv:STAGE:dev# 部署环境对应 serverless.yml 的 stageSERVERLESS_PLATFORM_VENDOR:tencent# 关键不设默认走 AWS部署到境外TENCENT_SECRET_ID:${{secrets.TENCENT_SECRET_ID}}TENCENT_SECRET_KEY:${{secrets.TENCENT_SECRET_KEY}}# 该 action 会自动执行 serverless deploy读取项目根目录的 serverless.yml4.2 配套serverless.yml适配点全注释component:scfname:my-web-apiapp:my-appstage:devinputs:name:my-web-apisrc:src:./exclude:# ❗ 打包时排除敏感与无关文件防密钥入库/入包-.env# 最高优先级本地密钥文件绝不进函数包-.git/**-node_modules/**# 由平台安装依赖不用本地 node_modules-dist/static# 如果静态资源单独托管别打进函数type:web# Web 函数HTTP 触发不填默认为事件函数runtime:Nodejs16.13region:ap-guangzhoutimeout:10memorySize:256environment:variables:NODE_ENV:productionevents:-apigw:# 自动绑定 API 网关name:serverlessparameters:protocols:[https]注意Web 函数无需指定入口文件但要保证项目根目录有可执行的scf_bootstrap启动文件构建产物若改变启动方式记得一起提交。4.3 错误对比 ① 密钥泄露AI 原始输出 VS 修正版AI 原始输出踩雷版-name:deploy serverlessuses:woodyyan/tencent-serverless-actionmainenv:STAGE:devSERVERLESS_PLATFORM_VENDOR:tencentTENCENT_SECRET_ID:AKIDabc123def456xyz789# ❌ 明文写死TENCENT_SECRET_KEY:0p1q2r3s4t5u6v7w8x9y0z# ❌ 明文写死为什么是雷YAML 进了 Git 仓库 密钥进了 git 历史。哪怕你后来删掉历史里永远有等于把云账号密码公布在互联网上。GitHub 的 secret scanning 扫描到后还会给腾讯云发告警、可能直接吊销密钥。修正后版本-name:deploy serverlessuses:woodyyan/tencent-serverless-actionmainenv:STAGE:devSERVERLESS_PLATFORM_VENDOR:tencentTENCENT_SECRET_ID:${{secrets.TENCENT_SECRET_ID}}# ✅ 只引用不落地TENCENT_SECRET_KEY:${{secrets.TENCENT_SECRET_KEY}}# ✅ 只引用不落地补救动作如果已经推过明文必须做别只改文件立即在 CAM 里禁用/轮换泄露的密钥对重新生成用git filter-repo清掉历史里的明文普通git rm没用检查 GitHub 仓库 Settings → Security 里的 secret scanning 告警确认已处理。同类雷区AI 有时会把serverless.yml的exclude漏掉导致.env随代码打进函数包——这不是 YAML 层的明文但泄露后果一样所以exclude: .env必须存在。五、场景 B静态托管完整流水线COS 与云开发两版5.1 版本一部署到 COS 静态网站托管name:deploy-static-to-coson:push:branches:[main]paths:[src/**,package.json,package-lock.json]workflow_dispatch:{}jobs:deploy:runs-on:ubuntu-latestpermissions:contents:readsteps:-name:Checkoutuses:actions/checkoutv4-name:Setup Node Builduses:actions/setup-nodev4with:node-version:20cache:npm-run:|npm ci npm run build-name:Upload to COSuses:tencentyun/cos-actionmaster# 腾讯云官方 COS Actionwith:secret_id:${{secrets.TENCENT_SECRET_ID}}secret_key:${{secrets.TENCENT_SECRET_KEY}}cos_bucket:${{secrets.COS_BUCKET}}# 格式桶名-APPIDcos_region:ap-guangzhoulocal_path:dist# 构建产物目录remote_path:/# 上传到桶根目录clean:true# 同步模式先清远端多余文件防止旧文件残留COS 静态网站托管需要先在控制台给桶开启静态网站功能并设置索引文档如index.html。上传后直接用 COS 静态网站域名或绑定的自定义域名访问。5.2 版本二部署到云开发CloudBase静态托管-name:Deploy static to CloudBaseuses:TencentCloudBase/cloudbase-actionv2# 注意用前到仓库确认最新版本号with:secretId:${{secrets.TENCENT_SECRET_ID}}secretKey:${{secrets.TENCENT_SECRET_KEY}}envId:${{secrets.ENV_ID}}# 云开发环境 ID不是桶名staticSrcPath:dist# 静态文件路径# staticDestPath: / # 需要传到子目录时再开两个版本共用同一套 SecretsTENCENT_SECRET_ID/KEY只是部署目标不同。选哪个取决于你后端是否要用云开发的云函数/数据库——要用就选 CloudBase纯静态站选 COS 更简单直接。5.3 错误对比 ② 权限不足AI 原始输出 VS 修正版AI 原始输出踩雷版jobs:deploy:runs-on:ubuntu-lateststeps:-uses:actions/checkoutv4-uses:actions/cachev4with:path:~/.npmkey:${{runner.os}}-npm-${{hashFiles(**/package-lock.json)}}-run:npm ci# ... deploy ...为什么是雷这一版其实是两级权限问题GitHub 侧job 没有permissions。在新仓库默认GITHUB_TOKEN收紧的情况下actions/cache保存缓存会失败报错类似Failed to save: ... GITHUB_TOKEN is not authorized腾讯云侧AI 只给了 YAML没管 CAM。如果你按它的方案把主账号密钥填进 Secrets能跑通但风险爆炸如果用了没绑策略的子账号直接报AuthFailure/UnauthorizedOperation。修正后版本jobs:deploy:runs-on:ubuntu-latestpermissions:# ✅ GitHub 侧显式最小权限contents:readactions:write# ✅ cache 保存需要缺了就报权限错误steps:-uses:actions/checkoutv4-uses:actions/cachev4...腾讯云侧修正YAML 之外同样关键子账号绑定QcloudCOSFullAccess或QcloudSCFFullAccess策略别用主账号密钥别绑AdministratorAccess。经验法则GitHub 侧的权限错误看 Actions 日志的 token 报错腾讯云侧的权限错误看AuthFailure/UnauthorizedOperation字样。两者不是一个东西别拿 CAM 策略去修 GitHub 的 token 报错。5.4 错误对比 ③ 缓存异常AI 原始输出 VS 修正版AI 原始输出踩雷版-name:Cache node_modulesuses:actions/cachev2# ❌ 旧版且缓存的是 node_moduleswith:path:node_modules# ❌ 直接缓存安装目录key:deps-cache# ❌ 固定 key永不失效为什么是雷问题后果key: deps-cache固定字符串缓存永远命中旧依赖package.json升级后 CI 还是装老版本 → “本地能跑、CI 出幽灵 bug”缓存node_modules跨 Node 版本、跨 runner 平台ubuntu/windows的产物互相污染还常因actions/cachev2与 Node20 runner 不兼容直接报错配套用npm install无 lockfile 校验依赖漂移和缓存叠加后问题更难排查修正后版本-name:Cache npm cacheuses:actions/cachev4# ✅ 新版with:path:~/.npm# ✅ 缓存 npm 全局缓存而非 node_moduleskey:${{runner.os}}-node-${{hashFiles(**/package-lock.json)}}# ✅ key 随依赖变化restore-keys:|${{ runner.os }}-node- # ✅ 未精确命中时退回旧缓存仍能加速更省心的做法直接用actions/setup-node的cache: npm本文章节四/五的写法key 自动带 lockfile 哈希不用手写 cache 步骤也少一个出错点。同类雷区AI 生成npm install而仓库里没有package-lock.json→npm ci直接报错修复本地npm install生成后把 lockfile 提交进仓库AI 把local_path/staticSrcPath指向仓库根目录 → 把源码甚至.env一起传上静态托管等于公开源码。六、AI 生成 YAML 十大典型错误对照表可直接做成给助手的检查单#类型AI 常见输出真实危害修正1密钥TENCENT_SECRET_ID: AKIDxxxx明文密钥进 git 历史全网可见${{ secrets.XXX }} 轮换密钥2密钥用主账号密钥泄露即账号失控子账号 最小策略3密钥serverless.yml未exclude: .env密钥随函数包上传补 exclude4权限漏permissionscache 保存失败、token 报错actions: writecontents: read5权限子账号无 SCF/COS 策略AuthFailure/UnauthorizedOperation绑定QcloudSCFFullAccess等6缓存key: deps-cache固定依赖永不更新幽灵 bughashFiles(**/package-lock.json)7缓存缓存node_modules跨平台/版本污染缓存~/.npm8构建npm install无 lockfile依赖漂移npm ci 提交 lockfile9触发on: [push]全量触发空跑浪费 Actions 分钟branchespaths过滤10并发无concurrency连推代码部署互相覆盖concurrency.groupcancel-in-progress把这张表原样发给腾讯云助手让它逐项自审可以一次过滤掉 80% 的低级错误请以安全审计视角检查以下流水线 YAML逐项回答 1. 是否存在明文密钥、或会被打包进部署产物的敏感文件 2. permissions 是否最小化且能支撑 cache/checkout 3. 缓存 key 是否随依赖变化自动失效是否缓存了 node_modules 4. serverless.yml 的 exclude 是否覆盖 .env、.git、node_modules 5. 触发器是否按分支/路径过滤是否有并发控制 只输出结论 需要修改的片段不改的给出理由。七、调试速查常见报错 → 原因 → 修复Actions 里的报错原因修复TENCENT_SECRET_ID is not defined/Secret not foundSecrets 没配或名字不一致Settings → Secrets 新增TENCENT_SECRET_ID/KEY名字和 YAML 完全一致AuthFailure.SignatureFailure密钥错误、已轮换、或用了失效密钥更新 Secrets确认是子账号密钥UnauthorizedOperation/You are not authorized to perform this operation子账号缺 CAM 策略绑定QcloudSCFFullAccess/QcloudCOSFullAccessFailed to save: ... not authorizedGitHub token 权限不足job 加permissions.actions: writeCannot read properties of undefinedcloudbase-actionaction 版本过旧与新 runner 不兼容升级到仓库最新 release 版本Bucket not found: xxxCOS_BUCKET不是桶名-APPID格式改为my-site-1250000000这种格式npm ci报package-lock.json缺失 / ERESOLVElockfile 未提交或与 package.json 不一致本地npm install后提交 lockfile部署成功但网站 404构建产物路径不对或 COS 未开启静态网站核对local_path/staticSrcPath控制台开启静态网站并设索引文档八、最后一套可沉淀的 SOP喂上下文贴目录树 关键文件内容 部署目标附上第二节的提示词模板要它自审把第六节的检查单丢给它让它逐项过你只终审三处① 全文搜一遍AKID、sk等字样确认无明文② 看permissions和exclude在不在③ 看缓存 key 有没有hashFiles灰度验证先workflow_dispatch手动触发一次确认构建和部署都绿了再推到 main 自动跑密钥轮换演练把轮换 Secrets 后重新部署跑通一次保证真出事时你有恢复路径。记住AI 写流水线不是一次成型而是上下文 约束 自审 人审的循环。上下文给得越准、约束列得越狠AI 犯的错就越少而密钥、权限、缓存这三关永远值得你亲自把最后一道。参考腾讯云官方文档《SCF 自动化部署》《Serverless 快速部署 Web 函数》《静态网站托管自动化部署》