GitHub App搜索私有仓库仅返回公开结果的排查求助

核心问题诊断 #

你遇到的问题大概率是直接使用JWT令牌调用API导致的——JWT仅用于验证GitHub App的身份，无法直接访问仓库数据，必须通过JWT获取对应组织的安装访问令牌，才能获得私有仓库的访问权限。

疑问解答 #

1. 是否需要额外特定权限？

不需要额外权限。你配置的**代码读取权限（Contents: Read）和元数据读取权限（Metadata: Read）**已经满足搜索私有仓库代码的要求。只需确保：

• 权限范围是组织内的「所有仓库」，或明确包含目标私有仓库；
• 组织在安装App时已授权这些权限。

2. 是否遗漏安装步骤？

是的，关键遗漏步骤是获取安装访问令牌。JWT是App的身份凭证，而非仓库访问凭证，必须通过它请求对应组织安装的访问令牌，才能访问私有仓库。

修正步骤 #

步骤1：获取安装访问令牌

先通过JWT请求目标组织的安装令牌（需要先获取该组织对应的安装ID，可通过GET /app/installations API用JWT调用获取）：

import (
    "encoding/json"
    "fmt"
    "net/http"
    "golang.org/x/oauth2"
    "github.com/google/go-github/v55/github"
)

// 获取安装访问令牌
func getInstallationToken(jwtToken string, installationID int64) (string, error) {
    client := &http.Client{}
    url := fmt.Sprintf("https://api.github.com/app/installations/%d/access_tokens", installationID)
    req, err := http.NewRequest("POST", url, nil)
    if err != nil {
        return "", err
    }
    req.Header.Set("Authorization", fmt.Sprintf("Bearer %s", jwtToken))
    req.Header.Set("Accept", "application/vnd.github.v3+json")
    
    resp, err := client.Do(req)
    if err != nil {
        return "", err
    }
    defer resp.Body.Close()
    
    var tokenResp struct {
        Token string `json:"token"`
    }
    if err := json.NewDecoder(resp.Body).Decode(&tokenResp); err != nil {
        return "", err
    }
    return tokenResp.Token, nil
}

步骤2：用安装令牌初始化GitHub客户端

替换你当前的客户端初始化逻辑，使用安装令牌创建有权限的客户端：

// 创建带安装令牌的GitHub客户端
func createGitHubClient(installationToken string) *github.Client {
    ctx := context.Background()
    ts := oauth2.StaticTokenSource(
        &oauth2.Token{AccessToken: installationToken},
    )
    tc := oauth2.NewClient(ctx, ts)
    return github.NewClient(tc)
}

步骤3：执行搜索查询

使用新创建的客户端执行搜索，即可获取私有仓库的结果：

// 流程示例
jwtToken, err := generateJWT(appID, privateKey)
if err != nil {
    // 处理错误
}

installationToken, err := getInstallationToken(jwtToken, installationID)
if err != nil {
    // 处理错误
}

githubClient := createGitHubClient(installationToken)
query := fmt.Sprintf("filename:weirdfilename.txt user:%s", g.owner)
result, _, err := githubClient.Search.Code(ctx, query, nil)

额外检查点 #

• 确认安装ID正确：通过GET /app/installations API（用JWT认证）列出所有安装，找到目标组织对应的ID；
• 确认搜索查询中的user:%s是组织名称，而非个人用户名；
• 在组织的「Settings > GitHub Apps > Installed GitHub Apps」中，检查App的权限是否为「Read」，且已授权访问目标私有仓库。

内容的提问来源于stack exchange，提问作者AlexS