GitHub pull_request工作流访问fork仓库密钥失败问题咨询

核心原因 #

GitHub Actions中，由pull_request事件触发的工作流始终运行在主仓库的环境上下文里，完全无法访问发起PR的fork仓库中的任何密钥——哪怕你在自己的fork里配置了F3D_DOCKER_CI_DISPATCH，主仓库的工作流也读不到这个值。这是GitHub的安全设计，防止恶意PR通过工作流窃取fork的敏感信息，或利用fork的权限执行未授权操作。

可行解决方案 #

针对你的场景，有几种处理方式：

1. 限制仅主仓库分支的PR触发密钥操作
   修改工作流的条件判断，只有当PR来自主仓库自身的分支（而非fork）时，才尝试用密钥触发构建。fork的PR直接提示联系维护者，示例代码调整如下：

   # This require a F3D_DOCKER_CI_DISPATCH secret contain a PAT with read and write admin access
   - name: Trigger docker images build
     env:
         secret: ${{ secrets.F3D_DOCKER_CI_DISPATCH }}
     # 仅当主仓库有密钥，且PR来自主仓库自身分支时执行
     if: ${{ env.secret != '' && github.event.pull_request.head.repo.full_name == github.repository }}
     uses: convictional/trigger-workflow-and-wait@v1.6.5
     with:
       ...
   
   - name: Error out when unable to build docker images
     # 主仓库无密钥，或PR来自fork时执行
     if: ${{ (env.secret == '') || (github.event.pull_request.head.repo.full_name != github.repository) }}
     uses: actions/github-script@v3
     with:
       script: core.setFailed('Could not generate missing docker images, reach out to a maintainer')
   

2. 使用pull_request_target事件（需注意安全风险）
   这个事件会在主仓库环境中运行，但使用fork的代码。你可以用它来访问主仓库的密钥，但必须严格限制触发条件——比如只允许组织管理员发起的PR，避免恶意代码利用主仓库密钥执行操作。

3. 手动触发替代
   对于fork发起的PR，让维护者（管理员）手动触发目标仓库的构建工作流，或者在主仓库临时配置密钥完成构建。

内容的提问来源于stack exchange，提问作者Mathieu Westphal