GitHub工作流中用GraphQL检查用户团队成员身份的权限问题

核心原因 #

默认的GITHUB_TOKEN权限范围仅局限于当前仓库，没有访问组织级别团队数据的权限，所以执行GraphQL查询时会返回{ organization: { team: null } }，后续读取members属性自然触发空指针错误。

必须用特殊令牌，不能用默认GITHUB_TOKEN #

解决这个问题的关键是使用拥有组织团队读取权限的令牌，有两种可选方案：

• 经典个人访问令牌（PAT）：创建时必须勾选read:org权限，才能读取组织团队成员信息。
• 细粒度个人访问令牌：针对目标组织配置访问权限，开启Organization members的读取权限即可，这种方式权限更精准，适合按需授权。
• 企业场景可选GitHub应用令牌：创建GitHub应用并授予组织团队读取权限，在工作流中使用该应用生成的令牌。

工作流配置示例 #

1. 把自定义令牌添加到仓库或组织的Secrets中，比如命名为ORG_READ_TOKEN。
2. 在github-script步骤中传入该令牌，替换默认的GITHUB_TOKEN：

   - name: 检查用户团队成员身份
     uses: actions/github-script@v6
     env:
       ORG_TOKEN: ${{ secrets.ORG_READ_TOKEN }}
     with:
       script: |
         const query = `
           query($org: String!, $teamSlug: String!, $user: String!) {
             organization(login: $org) {
               team(slug: $teamSlug) {
                 members(query: $user, first: 1) {
                   totalCount
                 }
               }
             }
           }
         `;
         const variables = {
           org: "你的组织名",
           teamSlug: "团队Slug",
           user: "目标用户名"
         };
         const result = await github.graphql(query, variables, {
           headers: {
             Authorization: `token ${process.env.ORG_TOKEN}`
           }
         });
         // 判断是否为团队成员
         const isMember = result.organization.team?.members.totalCount === 1;
         console.log(`用户是否为团队成员：${isMember}`);
   

本地测试的权限逻辑 #

本地用gh api graphql测试时，经典PAT如果没开启read:org权限，就会触发Resource not accessible by personal access token错误；而细粒度令牌因为可以精准指定组织和权限，所以能正常查询，这和工作流中的权限限制逻辑完全一致。

内容的提问来源于stack exchange，提问作者Konrad Kleine