GitHub Actions推送仓库时认证失败问题求助

问题场景 #

在GitHub组织下，私有仓库通过GitHub Actions构建后，推送产物到同组织的公共仓库时，遇到三种403认证错误：

1. 使用内置GITHUB_TOKEN时，提示Permission to [my-repository].git denied to github-actions[bot]
2. 使用组织级细粒度PAT时，提示Fine-grained personal access tokens are forbidden from accessing this repository
3. 使用个人经典PAT时，仍出现403错误

核心原因分析 #

• 内置GITHUB_TOKEN：仅拥有当前仓库的读写权限，不支持跨仓库操作，因此被拒绝。
• 细粒度PAT配置错误：误套用了经典PAT的repo权限，细粒度PAT需要针对目标仓库配置具体的读写权限，而非笼统的repo权限。
• 经典PAT失效：可能是组织开启了禁用经典PAT的安全策略，或者PAT的权限未覆盖目标仓库的写入需求。

解决方案（优先推荐细粒度PAT） #

1. 正确配置细粒度PAT #

• 进入GitHub账号的Settings → Developer settings → Personal access tokens → Fine-grained tokens
• 点击Generate new token：
  • 填写token名称，设置有效期
  • 在Resource owner处选择你的GitHub组织
  • 在Repository access中选择Only select repositories，并勾选目标公共仓库
  • 在Repository permissions下找到Contents，设置权限为Read and write
  • 生成token后，复制并妥善保存（仅显示一次）
• 回到私有仓库，进入Settings → Secrets and variables → Actions → New repository secret，将token命名为TARGET_REPO_PAT并粘贴保存

2. 修改工作流文件 #

将原工作流中的GITHUB_TOKEN替换为自定义的TARGET_REPO_PAT，并优化git操作步骤：

name: Build and Deploy Project

on:
  push:
    branches:
      - production

jobs:
  build:
    runs-on: ubuntu-latest

    steps:
      - name: Checkout source repository
        uses: actions/checkout@v3
    
      - name: Set up Python 3.12
        uses: actions/setup-python@v4
        with:
          python-version: '3.12'
    
      - name: Install dependencies
        run: |
          python -m pip install --upgrade pip
          pip install pyinstaller -r requirements.txt
    
      - name: Build executable with PyInstaller
        run: |
          pyinstaller --onefile my-script.py
    
      - name: Push executable to target repository
        env:
          TARGET_REPO_PAT: ${{ secrets.TARGET_REPO_PAT }}
          TARGET_REPO_URL: https://github.com/[my-repository].git
        run: |
          git config --global user.name "github-actions[bot]"
          git config --global user.email "github-actions[bot]@users.noreply.github.com"
          
          # 使用PAT克隆目标仓库，避免后续推送权限问题
          git clone "${TARGET_REPO_URL/https:\/\/}/https://x-access-token:${TARGET_REPO_PAT}@"
          cd [my-repository]
          
          # 确保切换到main分支
          git checkout main || git checkout -b main
          
          # 复制构建产物
          cp ../dist/my-script .
          
          git add my-script
          git commit -m "Add latest build of my-script"
          
          # 直接推送（克隆时已携带权限）
          git push

备用方案：使用经典PAT（仅当组织未禁用时） #

如果组织允许使用经典PAT：

• 生成经典PAT时，勾选repo权限下的所有子项（包括public_repo）
• 将PAT添加为私有仓库的Actions secret（命名为TARGET_REPO_PAT）
• 工作流修改方式与细粒度PAT一致

注意事项 #

• 确保生成PAT的账号对目标公共仓库拥有写入权限（如仓库管理员、协作成员）
• 所有token必须存储在Actions secrets中，禁止直接硬编码在工作流文件内
• 若使用细粒度PAT，不要勾选不必要的权限，遵循最小权限原则

内容的提问来源于stack exchange，提问作者i773