使用Token更新私有仓库README时GitHub Actions报403权限错误

一、排查并修复PAT权限问题 #

• 重新生成经典个人访问令牌（PAT）：
  1. 进入GitHub账号的Settings > Developer settings > Personal access tokens > Tokens (classic)
  2. 点击Generate new token，勾选repo分类下的所有子权限（确保包含写仓库的权限），不要设置过期时间（或确认有效期未过）
  3. 生成后复制令牌，确保不泄露
• 验证PAT拥有者权限：确认生成PAT的GitHub账号对abcxyz/myprivaterepo私有仓库拥有写权限（如仓库所有者、协作者且权限为Write）
• 更新仓库密钥：进入私有仓库的Settings > Secrets and variables > Actions，找到README_UPDATE_TOKEN，替换为新生成的PAT，确保无多余空格或字符
• （组织仓库额外检查）：如果是组织下的仓库，进入组织Settings > Developer settings > Personal access tokens > Token access policies，允许该PAT访问组织资源；若开启了SSO，需为PAT启用SSO认证

二、修正工作流配置 #

1. 调整Checkout步骤 #

添加fetch-depth: 0避免浅克隆导致的提交问题：

- name: Checkout Current Repo
  uses: actions/checkout@v3
  with:
    fetch-depth: 0

2. 修正推送步骤配置 #

使用以下稳定的推送脚本：

- name: Commit and Push Changes
  run: |
    git config --local user.name "GitHub Actions"
    git config --local user.email "actions@github.com"
    git remote set-url origin https://${{ secrets.README_UPDATE_TOKEN }}@github.com/abcxyz/myprivaterepo.git
    git add README.md
    # 避免无变更时提交失败
    git diff --quiet || git commit -m "Auto update README"
    git push

添加git diff --quiet ||可以防止README无变更时触发提交错误。

三、修复Python脚本的文件读取错误 #

原脚本中直接使用GitHub blob URL读取文件是错误的（open函数无法读取远程URL），需改为克隆后的本地路径：

import os

# File paths
TEMPLATE_README = "README.md"
# 修改为克隆后的readmes仓库内文件路径
INFO_FILE = "readmes/info.md"
GENERAL_FILE = "readmes/general.md"
OUTPUT_README = "README.md"

# Read the README template
with open(TEMPLATE_README, "r") as file:
    readme_content = file.read()

# Read external content
with open(INFO_FILE, "r") as file:
    info_content = file.read()

with open(GENERAL_FILE, "r") as file:
    general_content = file.read()

# Replace placeholders
readme_content = readme_content.replace("{{info}}", info_content)
readme_content = readme_content.replace("{{general}}", general_content)

# Write the updated README
with open(OUTPUT_README, "w") as file:
    file.write(readme_content)

print("README updated successfully!")

四、额外验证 #

• 触发工作流：推送一次代码到main分支，观察Actions日志，确认脚本正常读取文件、生成新README并推送成功
• 检查仓库权限：确认私有仓库的Settings > Actions > General中，Workflow permissions设置为"Read and write permissions"（虽然使用自定义PAT时影响较小，但可避免潜在问题）

内容的提问来源于stack exchange，提问作者batman