如何为Bitbucket自动化流程（如Renovate Bot）授予提交PR的恰当权限？

一、授予提交Pull Requests的权限 #

1. 内部团队成员权限配置 #

• 进入目标仓库的设置页面，选择权限 > 用户和组
• 添加目标用户或团队组，分配至少写入权限：拥有此权限的用户可直接在仓库创建分支并提交PR；若仅需提交PR无需直接推送分支，分配读取权限后，用户可通过fork仓库的方式提交PR。
• 若要限制成员只能提交PR、禁止直接推送至核心分支（如main/master）：
  • 进入设置 > 分支权限
  • 添加分支保护规则，选择需保护的分支
  • 勾选禁止直接推送，保留默认的允许PR合并规则

2. 外部用户提交PR配置 #

仓库默认允许外部用户通过fork仓库提交PR，无需额外配置；若需关闭此功能：

• 进入设置 > 仓库设置
• 找到PR设置，取消勾选允许来自fork的PR

二、为自动化Bot（如Renovate Bot）配置恰当权限 #

1. 创建专用服务用户 #

在Bitbucket中创建独立的服务用户（如renovate-bot），避免使用个人账号，便于权限管控和审计。

2. 生成App Password（推荐方式） #

• 以服务用户身份登录Bitbucket，进入个人设置 > App passwords
• 创建新的App Password，仅勾选必要权限：
  • 仓库：读取、写入（用于创建分支和提交代码）
  • Pull Requests：读取、写入（用于创建和管理PR）
• 保存生成的密码（仅显示一次，需妥善存储）

3. 批量授予仓库组权限 #

若需覆盖同一项目下的一组仓库：

• 进入目标项目的设置 > 权限 > 用户和组
• 添加服务用户，分配写入权限（项目级权限会自动应用到下属所有仓库）
• 若仅需针对特定仓库，单独进入对应仓库的权限页面添加用户并分配写入权限

4. Renovate Bot配置示例 #

在项目根目录的renovate.json中配置Bitbucket参数：

{
  "platform": "bitbucket",
  "token": "<你的App Password>",
  "username": "<服务用户名>"
}

确保权限范围仅覆盖需要维护的仓库，遵循最小权限原则。

内容的提问来源于stack exchange，提问作者benjimin