GitHub中Renovate App无法识别内部镜像依赖问题

我有两个内部仓库：

• 仓库A包含Helm Chart，其values.yaml中依赖的镜像由内部仓库B构建并发布至ghcr.io：

  # in values.yaml in repo A
  image:
    repository: org/repo
    tag: 0.1.0
    registry: ghcr.io
  

• 已配置Renovate如下：

  { 
    "$schema": "https://docs.renovatebot.com/renovate-schema.json",
    "extends": ["config:recommended"],
    "hostRules": [
      {
        "hostType": "docker",
        "matchHost": "ghcr.io",
        "encrypted": {"token": "<encryptedtoken>"}
      }
    ]
  }
  

我创建了拥有repo与packages:read权限的PAT，通过Mend页面加密后配置，但该PAT未被使用，仓库A的依赖仪表盘仍提示：

Renovate failed to look up the following dependencies: Failed to look up docker package ghcr.io/org/repo.
Files affected: values.yaml

以下是排查和解决该问题的具体步骤：

1. 补充hostRules的用户名配置 #

ghcr.io的认证通常需要指定GitHub用户名，即使使用PAT。修改hostRules添加username字段（替换为你的GitHub用户名）：

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "hostRules": [
    {
      "hostType": "docker",
      "matchHost": "ghcr.io",
      "username": "your-github-username",
      "encrypted": {"token": "<your-encrypted-token>"}
    }
  ]
}

2. 验证PAT的权限与访问范围 #

• 确认PAT所属账号有权限读取ghcr.io/org/repo镜像：比如账号是否属于目标组织，或镜像仓库是否已开放该账号的读取权限。
• 检查PAT权限：确保仅勾选repo和packages:read，且权限范围覆盖目标组织的仓库与包资源。

3. 检查加密Token的正确性 #

• 确认加密后的Token已完整复制到配置中，无多余空格或字符，且已替换掉占位符<encryptedtoken>。
• 若不确定，可重新在Mend页面加密PAT并更新配置，避免加密过程中出现错误。

4. 验证镜像地址的准确性 #

• 确认values.yaml中的repository: org/repo拼写无误，镜像确实已推送到ghcr.io/org/repo，且标签0.1.0存在。
• 手动执行docker pull ghcr.io/org/repo:0.1.0，使用该PAT认证，确认能正常拉取镜像，排除镜像本身的问题。

5. 查看Renovate运行日志定位错误 #

• 在Renovate运行日志中查找ghcr.io相关请求，根据HTTP状态码定位问题：
  • 401：认证失败，检查用户名、Token是否正确。
  • 403：权限不足，确认PAT权限和账号的镜像访问权限。
  • 404：镜像地址错误，检查镜像路径和标签。

6. 排查配置覆盖问题 #

• 检查extends: ["config:recommended"]是否引入了冲突的hostRules配置，可临时移除extends配置，仅保留自定义hostRules进行测试。

内容的提问来源于stack exchange，提问作者KonfuPanda