GitHub细粒度访问令牌实现克隆、推送、拉取的最小权限配置

核心必配权限 #

• Contents：设置为「Read and write」
  这是支撑所有基础Git操作的核心权限——git clone和git pull需要读取仓库内容的权限，git push需要写入内容的权限，该权限直接对应Git对仓库文件、分支、提交记录的基础操作。
• Metadata：默认保持「Read-only」（不可修改）
  Git操作依赖读取仓库元数据（比如分支列表、提交元信息等），这个权限是Git正常运行的基础，无需手动调整。

可选补充权限（按需开启，非强制） #

若你的工作流程不涉及以下场景，保持默认「No access」即可：

• Pull requests：如果需要用令牌推送PR关联分支，可设为「Read and write」；仅做基础clone/push/pull的话不需要。
• 其他如Issues、Actions等权限：完全不影响基础Git操作，无需开启。

权限范围控制 #

在令牌创建页的「Repository access」部分，选择「Only select repositories」，勾选需要授权的具体仓库，避免全局范围的过度授权。确保除上述必配权限外，其余仓库权限全部设为「No access」。

验证步骤 #

创建令牌后，可本地测试验证：

git clone https://<你的细粒度令牌>@github.com/<用户名>/<目标仓库名>.git
# 修改任意文件后执行推送
git add .
git commit -m "test token permission"
git push origin main

若所有操作均成功完成，说明权限配置符合要求。

内容的提问来源于stack exchange，提问作者stevec