Github Apps调用Blob创建API报403权限错误求助

我的需求是在GitHub指定分支创建Blob并提交，目前遇到三类应用令牌的权限问题：

1. OAuth App访问令牌：API请求始终正常，请求信息如下：

--header 'Authorization: Bearer gho_<redacted>' \
--header 'X-GitHub-Api-Version: 2022-11-28' \
--header 'Accept: application/vnd.github+json' \
--header 'Content-Type: application/json' \
--data '{
  "content": "Content of the blob",
  "encoding": "utf-8"
}'

2. 授权GitHub App生成的用户级访问令牌：仅对部分仓库有效，请求信息如下：

--header 'Authorization: Bearer ghu_<readcted>' \
--header 'X-GitHub-Api-Version: 2022-11-28' \
--header 'Accept: application/vnd.github+json' \
--header 'Content-Type: application/json' \
--data '{
  "content": "Content of the blob",
  "encoding": "utf-8"
}'

3. GitHub App安装访问令牌：调用时触发403错误，请求信息及错误返回如下：

--header 'Authorization: Bearer ghs_<redacted>' \
--header 'X-GitHub-Api-Version: 2022-11-28' \
--header 'Accept: application/vnd.github+json' \
--header 'Content-Type: application/json' \
--data '{
  "content": "Content of the blob",
  "encoding": "utf-8"
}'

错误返回：

{
    "message": "Resource not accessible by integration",
    "documentation_url": "https://docs.github.com/rest/git/blobs#create-a-blob",
    "status": "403"
}

我已确认GitHub App权限配置包含Blob创建所需的contents: write权限，具体权限如下：

"permissions": {
      "actions": "write",
      "administration": "write",
      "checks": "write",
      "contents": "write",
      "deployments": "write",
      "environments": "read",
      "issues": "write",
      "metadata": "read",
      "pull_requests": "write",
      "repository_hooks": "write",
      "statuses": "write",
      "workflows": "write"
    }

Blob创建API文档说明支持GitHub App用户访问令牌和安装访问令牌，但我使用这两种令牌均触发403错误。请问我遗漏了什么配置？若要为终端用户提供细粒度访问，该如何解决Installed Github Apps的这个问题？

一、排查遗漏的配置项 #

1. 确认GitHub App安装范围 #

• 若App安装在组织级别：进入组织设置→GitHub Apps→找到目标App→检查「Repository access」配置，确保目标仓库在允许访问的列表中（选择「所有仓库」或明确添加目标仓库）。
• 若App安装在个人账号下：确认App已被授权访问目标仓库，而非仅部分仓库。

2. 验证令牌生成逻辑 #

• 安装访问令牌需绑定具体安装实例，生成时要指定目标仓库所属的安装ID，确保该ID对应目标仓库所在组织/个人账号下的App安装记录。
• 用户级访问令牌（ghu_开头）需确保用户账号本身对目标仓库有写入权限，且用户授权App时已允许访问该仓库。

3. 检查API请求路径 #

• 确认创建Blob的API路径为https://api.github.com/repos/{owner}/{repo}/git/blobs，其中{owner}和{repo}参数完全准确，避免因仓库路径错误导致权限校验失败。

4. 检查分支保护规则 #

• 若目标分支开启分支保护：进入仓库设置→分支保护规则→找到对应分支→勾选允许指定主体绕过规则的选项（如「Allow specified actors to bypass required pull requests」），并将你的GitHub App加入允许列表。

二、终端用户细粒度访问方案 #

1. 采用用户授权流程生成令牌 #

• 引导终端用户通过OAuth流程授权你的GitHub App，生成用户级访问令牌（ghu_开头）。授权时可指定scope参数为repo（或更细粒度的权限范围），确保覆盖contents: write所需权限，令牌的访问范围由用户授权时选择的仓库决定。

2. 配置App细粒度权限 #

• 在GitHub App的权限设置中，仅授予必要的权限，contents权限设置为write即可，避免过度授权。
• 允许用户在安装App时选择授权的仓库范围（而非强制所有仓库），实现仓库级的细粒度访问控制。

3. 结合安装令牌与用户上下文 #

• 若需以App身份操作但遵循用户权限，可通过App的「User-to-Server」API流程，在获取用户授权后，使用用户令牌调用API时附带App身份信息，或生成绑定用户权限的安装令牌（需确保App有代理用户操作的权限）。

4. 权限前置验证与错误处理 #

• 调用Blob创建API前，先通过GET /repos/{owner}/{repo}/collaborators/{username}/permission接口验证用户（或App）对目标仓库的权限，提前排查权限问题。
• 针对403错误，给出明确的排查提示，引导用户检查仓库权限、App安装范围或分支保护规则。

内容的提问来源于stack exchange，提问作者Jesna James