如何在GitHub Actions中复用可复用工作流仓库的密钥？

默认情况下，GitHub Actions的可复用工作流是在调用方仓库（Repo A）的上下文里运行的，所以它只能访问Repo A的密钥，拿不到Repo B的。针对这个场景，有几个可行的解决思路：

1. 用Repository Dispatch触发Repo B的独立工作流 #

Repo A的工作流不直接调用可复用工作流，而是通过GitHub API发送repository_dispatch事件触发Repo B中的工作流。这样Repo B的工作流在自己的仓库上下文运行，自然能访问secrets.TOKEN。

具体操作：

• 在Repo B中创建监听repository_dispatch事件的工作流：

  name: Task Triggered by Repo A
  on:
    repository_dispatch:
      types: [execute-task] # 自定义事件标识
  
  jobs:
    execute-task:
      runs-on: ubuntu-latest
      steps:
        - name: Use Repo B's secret
          run: |
            # 这里执行需要用到TOKEN的逻辑，比如调用第三方API
            echo "Using token: ${{ secrets.TOKEN }}"
  

• 在Repo A的工作流里，用curl或GitHub CLI发送触发请求（需要一个有Repo B仓库repo权限的PAT，存在Repo A的secrets中，这个PAT仅用于触发工作流，无法获取Repo B的密钥）：

  name: Trigger Repo B Task
  on: [push]
  
  jobs:
    trigger-repo-b:
      runs-on: ubuntu-latest
      steps:
        - name: Send dispatch event
          run: |
            curl -X POST \
              -H "Authorization: token ${{ secrets.REPO_B_TRIGGER_PAT }}" \
              -H "Accept: application/vnd.github.v3+json" \
              https://api.github.com/repos/<你的用户名>/repo-b/dispatches \
              -d '{"event_type":"execute-task","client_payload":{"task_param":"来自Repo A的参数"}}'
  

• 如果需要Repo B返回结果给Repo A，可以通过上传Artifact到Repo B，再让Repo A的工作流下载，或者用GitHub API传递结果。

2. 用Workflow Dispatch触发Repo B的工作流 #

和上面思路类似，但用workflow_dispatch事件触发，支持直接传递参数，更直观：

• 在Repo B中创建支持手动/API触发的工作流：

  name: Controlled Task Workflow
  on:
    workflow_dispatch:
      inputs:
        task-data:
          description: 来自Repo A的任务参数
          required: true
  
  jobs:
    run-task:
      runs-on: ubuntu-latest
      steps:
        - name: Execute task with Repo B's secret
          run: |
            echo "参数：${{ github.event.inputs.task-data }}"
            echo "使用Repo B的TOKEN：${{ secrets.TOKEN }}"
  

• 在Repo A的工作流中调用API触发：

  name: Trigger Repo B Workflow
  on: [push]
  
  jobs:
    trigger:
      runs-on: ubuntu-latest
      steps:
        - name: Start Repo B task
          run: |
            curl -X POST \
              -H "Authorization: token ${{ secrets.REPO_B_TRIGGER_PAT }}" \
              -H "Accept: application/vnd.github.v3+json" \
              https://api.github.com/repos/<你的用户名>/repo-b/actions/workflows/<工作流文件名>.yml/dispatches \
              -d '{"ref":"main","inputs":{"task-data":"测试参数"}}'
  

3. 组织级密钥+权限限制（同组织场景） #

如果Repo A和Repo B属于同一个GitHub组织，可以把TOKEN存为组织级密钥，然后设置仅允许Repo B访问该密钥。之后在Repo B中封装一个专用的Action或脚本，让Repo A调用这个封装逻辑间接使用密钥，避免Repo A直接接触敏感内容。

这个方法的局限性是必须同属一个组织，且需要额外封装确保密钥不泄露。

关键注意事项 #

• 触发用的PAT只需要最小权限（私有仓库给repo权限，公开仓库给public_repo），不要赋予多余权限降低风险。
• 所有涉及敏感密钥的操作必须放在Repo B的工作流中执行，绝对不要在Repo A的上下文里处理敏感内容。

内容的提问来源于stack exchange，提问作者hb.Sara