Github Actions推镜像遇429错误：GITHUB_TOKEN为何被识别为匿名？

核心问题 #

你遇到的429错误并非来自Github容器注册表（GHCR），而是Docker Hub的匿名请求限流。你配置的GHCR登录仅对GHCR生效，拉取Docker Hub上的docker/dockerfile:1.4镜像时仍属于匿名访问，触发了Docker Hub的低限额请求限制。

关于GHCR登录的疑问 #

你通过github.actor和secrets.GITHUB_TOKEN登录GHCR的方式不属于匿名登录，该操作会赋予你GHCR的推送/拉取权限，且GHCR的请求限额远高于Docker Hub匿名用户，但它只作用于GHCR，和Docker Hub的访问权限、限额无关。

解决方法 #

方法1：登录Docker Hub #

在Job中添加Docker Hub的登录步骤，使用Docker Hub账号和个人访问令牌（推荐用令牌而非密码），拉取Docker Hub镜像时会以登录状态获取更高的请求限额：

- name: Login to Docker Hub
  uses: docker/login-action@v2
  with:
    username: ${{ secrets.DOCKER_HUB_USERNAME }}
    password: ${{ secrets.DOCKER_HUB_TOKEN }}

需要在仓库Secrets中配置DOCKER_HUB_USERNAME（你的Docker Hub用户名）和DOCKER_HUB_TOKEN（在Docker Hub账号设置中生成的个人访问令牌）。

方法2：改用GHCR托管的dockerfile镜像 #

将Dockerfile中的语法声明替换为GHCR上的镜像，拉取时会复用已登录的GHCR权限，避开Docker Hub的限流：

#syntax=ghcr.io/docker/dockerfile:1.4

方法3：缓存基础镜像 #

利用Docker Buildx的缓存功能减少重复拉取镜像的频率，降低请求次数：

- name: Set up Docker Buildx
  uses: docker/setup-buildx-action@v2
- name: Build Images
  run: |
    PROJECT_TAG=cmt-${{ github.sha }} docker buildx bake --load \
      --cache-from type=registry,ref=${{ env.REGISTRY }}/myproject:cache \
      --cache-to type=registry,ref=${{ env.REGISTRY }}/myproject:cache,mode=max \
      ${{ needs.project_names.outputs.names_space }}

内容的提问来源于stack exchange，提问作者Andrius