遵循最小权限原则：同一组织内GitHub Actions免手动Token跨仓推送

你当前使用个人权限的手动令牌推送代码，存在权限过大、令牌长期有效且需手动维护的风险。以下是符合最小权限原则的自动令牌方案，无需手动生成令牌：

推荐方案：使用GitHub Actions自动生成的GITHUB_TOKEN #

默认的GITHUB_TOKEN仅能访问当前仓库，但通过两步配置即可实现安全的跨仓库推送：

1. 配置仓库间的访问权限 #

在组织设置中，为www仓库的工作流授予myorg-github-io的写入权限：

• 进入组织的「Settings」→「Actions」→「Repository permissions」
• 找到myorg-github-io仓库，将其权限设置为「Read and write」（可针对单个仓库或通过组织规则批量配置）
• 保存设置

2. 修改www仓库的工作流配置 #

在工作流中添加权限声明，并替换手动令牌为自动生成的GITHUB_TOKEN：

# 工作流顶部添加权限配置，仅请求推送所需的最小权限
permissions:
  contents: write

env:
  GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

优势说明 #

• 权限最小化：仅授予工作流推送代码所需的contents: write权限，而非个人账号的全部权限
• 自动轮换：GITHUB_TOKEN仅在当前工作流运行周期内有效，运行结束后自动失效，彻底避免令牌泄露风险
• 无需手动维护：无需创建、存储和更新令牌，减少人为操作失误

备选方案：使用Deploy Key（单仓库隔离场景） #

若需更严格的单仓库权限隔离，可采用Deploy Key方案：

• 本地生成无密码的SSH密钥对
• 将公钥添加至myorg-github-io仓库的「Settings」→「Deploy keys」，勾选「Allow write access」
• 将私钥存储为www仓库的机密（如MYORG_IO_DEPLOY_KEY）
• 在工作流中通过SSH密钥完成推送
  此方案权限仅针对myorg-github-io单仓库，但需手动维护密钥，便捷性不如自动令牌方案。

内容的提问来源于stack exchange，提问作者A T