如何在GitHub Actions中不使用checkout action安全克隆私有仓库？

一、先搞定Runner的认证权限（核心前提） #

私有仓库克隆必须解决权限问题，推荐两种安全可靠的认证方式：

• GitHub App方式（更安全，权限可控）
  1. 新建GitHub App，仅给它分配目标私有仓库的「读取权限」，别开全局权限
  2. 在Workflow中用actions/create-github-app-token生成短期安装令牌，避免硬编码长期凭证
  3. 将令牌注入环境变量，供git命令调用
• PAT方式（简单但权限要收窄）
  1. 生成PAT时只勾选repo权限（仅仓库读取，拒绝其他不必要权限）
  2. 把PAT存到GitHub Secrets里，比如命名为PRIVATE_REPO_TOKEN
  3. 在Workflow中通过${{ secrets.PRIVATE_REPO_TOKEN }}引用

二、用Shell脚本实现批量克隆/更新 #

把需要集成的模块仓库地址整理到modules.txt（每行一个仓库地址，比如https://github.com/your-org/module-repo.git），然后写个循环脚本替代重复的checkout action：

#!/bin/bash
# 模块列表文件路径
MODULE_LIST="./modules.txt"
# 统一存放模块的目录
CLONE_DIR="./modules"
mkdir -p $CLONE_DIR

# 重试函数，应对网络波动
retry() {
  local attempts=3
  local delay=2
  for ((i=1; i<=attempts; i++)); do
    "$@" && return 0
    echo "尝试失败，$delay秒后重试..."
    sleep $delay
    delay=$((delay * 2))
  done
  echo "三次尝试均失败，终止任务"
  return 1
}

# 循环处理每个仓库
while read repo_url; do
  repo_name=$(basename $repo_url .git)
  target_dir="$CLONE_DIR/$repo_name"

  if [ -d "$target_dir/.git" ]; then
    echo "更新仓库: $repo_name"
    cd $target_dir && retry git pull origin main && cd ../..
  else
    echo "克隆仓库: $repo_name"
    # 嵌入令牌实现HTTPS自动认证，浅克隆加速（不需要完整历史可保留--depth 1）
    auth_url=$(echo $repo_url | sed "s|https://|https://${PRIVATE_REPO_TOKEN}@|")
    retry git clone --depth 1 $auth_url $target_dir
  fi
done < $MODULE_LIST

三、Workflow中的配置示例 #

把上述脚本放到主仓库，在Workflow里调用即可：

jobs:
  build-site:
    runs-on: ubuntu-latest
    steps:
      - name: 克隆主仓库
        uses: actions/checkout@v4
      
      - name: 注入私有仓库令牌
        env:
          PRIVATE_REPO_TOKEN: ${{ secrets.PRIVATE_REPO_TOKEN }}
        run: |
          # 配置git凭证缓存，避免重复认证
          git config --global credential.helper store
          echo "https://${PRIVATE_REPO_TOKEN}:@github.com" > ~/.git-credentials
      
      - name: 批量克隆/更新模块
        run: chmod +x ./clone-modules.sh && ./clone-modules.sh

四、优化提速与可靠性 #

• 并行克隆：如果Runner性能足够，可改用xargs -P 5实现并行克隆（同时跑5个任务），但别超过GitHub速率限制
• 缓存模块目录：用actions/cache缓存./modules目录，模块无更新时直接复用缓存：

- name: 缓存模块仓库
  uses: actions/cache@v3
  with:
    path: ./modules
    key: modules-${{ hashFiles('modules.txt') }}

• 浅克隆保留：--depth 1只克隆最新提交，能大幅缩短克隆时间，构建不需要完整历史时强烈推荐

五、安全注意事项 #

• 绝对不要把令牌硬编码到脚本或Workflow文件，必须存在GitHub Secrets
• 令牌权限遵循最小原则：只给读取权限，拒绝写权限及其他无关权限
• 优先用GitHub App的短期令牌，比长期PAT更安全，泄露后影响范围小

内容的提问来源于stack exchange，提问作者Mohammad Miras