如何使用GitHub App跨组织实现私有仓库的依赖安装？

为什么选GitHub App而非服务账户 #

• 权限粒度更细：可以仅授予对Org1/Repo1的只读内容权限，无需开放整个组织的权限
• 无真实用户开销：不需要创建额外的服务账户，避免用户管理的冗余工作
• 安全可控：可生成短期有效（最长1小时）的访问令牌，而非长期有效的SSH密钥，泄露风险更低
• 审计友好：所有操作都会关联到GitHub App，便于追踪权限使用情况

具体实现步骤 #

1. 在Org1下创建GitHub App #

• 进入GitHub的「Settings > Developer settings > GitHub Apps > New GitHub App」
• 设置App名称，选择仅在Org1安装（或全组织，按需选择）
• 在「Repository permissions > Contents」设置为Read-only
• 取消勾选「Webhook active」（如果不需要事件通知）
• 完成创建后，进入App详情页，点击「Generate a private key」下载PEM格式的私钥文件

2. 安装GitHub App到Org1的Repo1 #

• 在App详情页的「Install App」选项卡，选择Org1，然后选择仅安装到Repo1（而非整个组织）

3. GitHub Actions环境下的实现示例 #

在Org2的仓库GitHub Actions workflow中，添加以下步骤生成令牌并安装依赖：

jobs:
  install-deps:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      
      - name: Generate GitHub App token
        id: generate-token
        uses: tibdex/github-app-token@v2
        with:
          app_id: ${{ secrets.ORG1_APP_ID }}
          private_key: ${{ secrets.ORG1_APP_PRIVATE_KEY }}
          repository: Org1/Repo1

      - name: Install private dependency
        run: |
          pip install git+https://x-access-token:${{ steps.generate-token.outputs.token }}@github.com/Org1/Repo1.git

说明：ORG1_APP_ID和ORG1_APP_PRIVATE_KEY需要提前存储在Org2仓库的Secrets中

4. 服务器/本地环境的实现示例 #

如果是在服务器或本地环境，可通过Python脚本生成令牌并执行安装（依赖pyjwt、requests和cryptography库）：

import jwt
import time
import requests
import subprocess

# 配置参数
APP_ID = "你的GitHub App ID"
PRIVATE_KEY_PATH = "/path/to/your/private-key.pem"
REPO_FULL_NAME = "Org1/Repo1"

# 生成JWT令牌用于身份验证
with open(PRIVATE_KEY_PATH, "r") as f:
    private_key = f.read()

payload = {
    "iat": int(time.time()),
    "exp": int(time.time()) + 600,  # 令牌有效期设为10分钟
    "iss": APP_ID
}
jwt_token = jwt.encode(payload, private_key, algorithm="RS256")

# 获取仓库专属的访问令牌
response = requests.post(
    f"https://api.github.com/repos/{REPO_FULL_NAME}/installation/tokens",
    headers={
        "Authorization": f"Bearer {jwt_token}",
        "Accept": "application/vnd.github.v3+json"
    }
)
response.raise_for_status()
access_token = response.json()["token"]

# 执行pip安装私有依赖
subprocess.run(
    ["pip", "install", f"git+https://x-access-token:{access_token}@github.com/Org1/Repo1.git"],
    check=True
)

注意：运行脚本前先执行pip install pyjwt requests cryptography安装依赖库

核心优势总结 #

• 遵循最小权限原则：仅授予Repo1的只读权限，避免过度授权
• 短期令牌机制：每次生成的令牌有效期可控，远优于长期有效的SSH密钥
• 简化管理：不需要处理服务账户的创建、删除、权限变更等生命周期操作

内容的提问来源于stack exchange，提问作者acmisiti