如何在GitHub组织黑客松仓库中限制非管理员编辑Workflow文件？

我需要在GitHub组织下创建一个黑客松仓库，仓库内配置用于部署参与者不同方案的Workflow。但我担心普通用户自行创建或编辑Workflow文件，进而访问Secrets等敏感信息。

我尝试过以下方案，但均未解决问题：

• CodeOwners：仅能阻止合并，无法阻止Workflow运行
• 允许指定Actions：无法阻止文件修改，也无法限制仓库内的操作
• Rules/Rulesets：仅支持提交信息、命名等表层元数据规则匹配

我的核心需求：阻止非Admin/Owner/Maintainer角色的用户创建或编辑Workflow文件。

同时有两个疑问：

1. 是否有可行的实现方式？或者是否存在替代方案，既能让参与者触发部署操作，又无法修改部署流程？我无法理解为何GitHub未提供此类设置。
2. 是否存在这样的风险：有人复刻仓库并发起PR，在PR中创建Workflow文件后，该Workflow会自动运行，导致仓库Secrets泄露？

参考资料：

• Stack Overflow问题：How to allow only specific workflows（未得到满意解答）
• GitHub社区讨论：相同问题（无解决方案）

一、阻止非管理员修改Workflow文件的可行方式 #

目前GitHub原生功能没有直接禁止非管理员修改.github/workflows/目录文件的设置，但可以通过组合手段实现近似效果：

1. 仓库权限+分支保护+CodeOwners 三重限制

   • 把仓库默认分支（如main）设置为仅允许管理员推送，参与者只能通过PR提交代码。
   • 给默认分支添加分支保护规则：要求所有PR必须经Admin/Owner/Maintainer审核通过才能合并。
   • 在.github/CODEOWNERS中指定.github/workflows/目录的所有者为管理员团队，任何修改Workflow的PR都会自动触发管理员审核，无批准则无法合并。
   • 补充：在仓库Actions设置中开启**"Require approval for all outside collaborators"**，外部参与者PR中的Workflow需管理员批准才能运行，避免未审核流程访问Secrets。

2. 自定义监控机制

   • 用GitHub Actions写一个监控Workflow：当检测到PR修改了.github/workflows/下的文件时，自动给PR添加标记、通知管理员，并设置PR为不可合并状态。
   • 也可以借助第三方GitHub App，监听仓库的Push/PR事件，一旦发现非管理员修改Workflow文件，自动撤销提交或拦截PR。

二、替代方案：让参与者触发部署但无法修改流程 #

如果严格禁止修改Workflow不可行，可采用以下隔离模式：

1. 固定Workflow+参数化触发

   • 由管理员预先编写唯一的部署Workflow（如deploy.yml），通过repository_dispatch事件或PR标签/评论触发。参与者只能传递部署所需的参数（如方案ID、环境），无法修改Workflow本身的逻辑。
   • 示例：参与者在PR下评论/deploy staging，触发预定义的Workflow读取PR代码完成部署，全程流程由管理员控制。

2. 代码与部署配置分离

   • 拆分两个仓库：一个供参与者提交代码（无敏感信息和Workflow），另一个专门存放部署Workflow和Secrets（仅管理员可编辑）。
   • 当代码仓库有PR合并时，自动触发部署仓库的Workflow执行部署，参与者完全接触不到部署流程的配置细节。

三、PR中Workflow运行的风险说明 #

你担心的情况不会发生：

• 复刻仓库发起的PR，GitHub默认不会在你的目标仓库中运行PR里的Workflow。来自复刻仓库的PR，其Workflow运行权限受限，无法访问目标仓库的Secrets。
• 只有管理员手动批准后，PR中的Workflow才会执行，但此时Secrets仍不会暴露给提交者——Workflow运行在目标仓库环境中，提交者只能看到输出日志，除非你预先编写的Workflow存在日志泄露Secrets的漏洞（这需要提前排查）。

内容的提问来源于stack exchange，提问作者Branchverse