如何让GitHub Actions评论Fork PR时拥有pull_request_target级权限？

核心思路 #

通过**仓库级Personal Access Token（PAT）**赋予第二个工作流足够的写入权限，替代风险较高的pull_request_target事件，同时保留拆分工作流的安全架构。

具体配置步骤 #

1. 创建并配置仓库级PAT #

• 生成一个仅具备repo权限的PAT（避免全局权限）
• 进入仓库的Settings → Secrets and variables → Actions，添加该PAT为仓库密钥，命名为REPO_PAT

2. 优化第一个工作流：传递完整PR元数据 #

在触发repository_dispatch事件时，携带PR编号、仓库名、工作流运行ID等关键信息，确保第二个工作流能准确定位目标PR和Artifact：

# 第一个工作流中触发事件的步骤
- name: 触发评论工作流
  if: failure()
  uses: peter-evans/repository-dispatch@v2
  with:
    token: ${{ secrets.REPO_PAT }}
    event-type: prettier-check-failed
    client-payload: |
      {
        "pr_number": ${{ github.event.number }},
        "repo_full_name": "${{ github.repository }}",
        "run_id": "${{ github.run_id }}"
      }

3. 配置第二个工作流：使用PAT获取权限 #

第二个工作流监听repository_dispatch事件，通过REPO_PAT获取下载Artifact和评论PR的权限：

name: 评论Prettier差异至PR
on:
  repository_dispatch:
    types: [prettier-check-failed]

jobs:
  comment-pr:
    runs-on: ubuntu-latest
    steps:
      - name: 下载Prettier差异Artifact
        uses: actions/download-artifact@v4
        with:
          name: prettier-diff
          run-id: ${{ github.event.client_payload.run_id }}
          repo: ${{ github.event.client_payload.repo_full_name }}
          token: ${{ secrets.REPO_PAT }}

      - name: 评论PR
        uses: thollander/actions-comment-pull-request@v2
        with:
          pr_number: ${{ github.event.client_payload.pr_number }}
          message: |
            ### Prettier检查未通过
            以下是需要调整的代码差异：
            <details>
            <summary>展开查看HTML差异</summary>
            ```html
            ${{ readFile('prettier-diff.html') }}
            ```
            </details>
          token: ${{ secrets.REPO_PAT }}

4. 安全校验 #

• 确保REPO_PAT仅分配必要的repo权限，禁止添加额外权限
• 第一个工作流保持pull_request事件的只读权限，仅执行检查和Artifact上传操作
• 避免在client-payload中传递敏感信息

内容的提问来源于stack exchange，提问作者George Araújo