GitHub仓库所有者如何让外部PR正常运行GitHub Actions？

作为仓库所有者，有两个更快捷的方案无需复刻分支：

1. 手动批准单条外部PR的工作流运行 #

外部PR触发Actions后，直接在仓库的「Actions」标签页找到对应的工作流任务，你会看到「Review permissions」入口，点击确认批准即可让该PR的工作流不受限运行。

• 每次外部PR的首次提交触发的工作流都需要手动批准，后续PR有新提交时，部分场景下可能需要再次批准，具体取决于仓库安全设置。
• 该方法仅针对当前PR生效，不会改动仓库全局安全规则，安全性较高。

2. 微调仓库Actions权限（谨慎操作） #

如果经常有外部PR需要运行Actions，可以针对性调整仓库设置：

• 进入仓库「Settings」→「Actions」→「General」页面，找到「Pull requests from external collaborators」相关配置。
• 可设置允许外部PR运行指定工作流，同时配合工作流文件中的permissions字段，严格限制工作流权限范围（比如仅允许读取代码、触发构建，禁止写入仓库或访问敏感secrets）。
• 注意：不要全局放开所有外部PR的Actions权限，避免恶意代码利用权限执行敏感操作。

额外说明：即使批准了外部PR的工作流，GitHub默认会禁止外部PR访问仓库敏感secrets。如果工作流必须用到secrets，还是得通过复刻分支转内部PR的方式，或是设置带审批的环境secrets，但后者步骤相对繁琐，不如复刻分支直接。

内容的提问来源于stack exchange，提问作者Vadorequest