用途：在 gh-aw 的 copilot 引擎中，为 HTTP 类型的 MCP 服务器头部提供密钥安全支持。当工作流的 mcp-servers 头部使用 GitHub Actions 密钥（如 ${{ secrets.DD_API_KEY }}）时，生成的 mcp-config.json 不再直接暴露密钥，而是改用环境变量引用。
主要能力：从 headers 值中解析 ${{ secrets.VAR_NAME }} 与带默认值的 ${{ secrets.VAR || 'default' }} 表达式；汇总所有 HTTP MCP 工具的密钥；将密钥表达式替换为 ${VAR_NAME} 形式的 env 引用；在 MCP 配置中加入 env 段并以 ${VAR_NAME} 透传语法渲染；在执行步骤的 env 中加入对应密钥变量。相关函数包括 extractSecretsFromValue、extractSecretsFromHeaders、replaceSecretsWithEnvVars、collectHTTPMCPHeaderSecrets，渲染发生在 renderSharedMCPConfig，收集发生在 GetExecutionSteps。
使用方式：在工作流里定义 engine: copilot，并为 mcp-servers 下的 HTTP 服务（type: http、url、headers、allowed 工具列表）填写 headers。示例中 DD_SITE 使用 ${{ secrets.DD_SITE || 'datadoghq.com' }}。生成的配置包含 headers（${DD_API_KEY} 等）、tools 列表和 env 段（${DD_API_KEY} 等），执行步骤的 env 中包含对应密钥以及 COPILOT_GITHUB_TOKEN。GH_AW_MCP_CONFIG 不在 YAML env 块中，而由运行脚本 export GH_AW_MCP_CONFIG="$HOME/.copilot/mcp-config.json"，以便 $HOME 在运行时解析，适配自托管或容器化 runner。
适用场景：为需要鉴权头部的远程 HTTP MCP 服务器（如 Datadog MCP）配置密钥，同时避免密钥写入 MCP 配置。限制：资料仅覆盖 copilot 引擎与 gh-aw 生成流程，未提供安装命令、价格、平台支持范围及与其它引擎的兼容性说明。