如何限制GitHub组织内仅指定私有仓库可复用目标Workflow？

由于GitHub默认允许同一组织下所有私有仓库访问私有可重用Workflow，要实现仅指定仓库可用，得在被调用的Workflow（仓库B中的Workflow B）里主动添加校验逻辑，具体方案如下：

方法一：在被调用Workflow中添加调用方仓库校验 #

在Workflow B的最开头添加一个校验作业，判断调用方仓库是否在允许列表内，不在则直接终止流程：

jobs:
  # 先执行仓库校验作业
  validate-caller-repo:
    runs-on: ubuntu-latest
    steps:
      - name: Check if calling repo is allowed
        run: |
          # 定义允许调用的仓库列表（格式：组织名/仓库名）
          ALLOWED_REPOS="OrgName/A OrgName/指定仓库1 OrgName/指定仓库2"
          # 对比当前调用方仓库是否在允许列表中
          if [[ ! " $ALLOWED_REPOS " =~ " $GITHUB_REPOSITORY " ]]; then
            echo "❌ 仓库 $GITHUB_REPOSITORY 无权限使用此Workflow"
            exit 1
          fi
          echo "✅ 仓库校验通过"

  # 原有的业务作业，依赖校验作业的结果
  your-original-job:
    needs: validate-caller-repo
    runs-on: ubuntu-latest
    # 这里写你原本Workflow B的作业内容
    steps:
      - name: Your original step
        run: echo "Executing workflow logic..."

原理是利用GitHub Actions的GITHUB_REPOSITORY环境变量获取调用方的完整仓库名（格式为OrgName/仓库名），然后和预设的允许列表对比，不匹配就退出流程，阻止后续作业执行。

方法二：结合组织团队与环境权限控制 #

如果希望通过权限体系而非代码逻辑控制，可按以下步骤操作：

• 在组织内创建一个专属团队，仅加入允许使用该Workflow的仓库的维护人员
• 在仓库B中创建一个环境（比如命名为restricted-workflow），设置该环境的访问权限为仅上述专属团队可访问
• 将Workflow B中的业务作业绑定到这个环境：

jobs:
  your-original-job:
    runs-on: ubuntu-latest
    environment: restricted-workflow
    steps:
      - name: Your original step
        run: echo "Executing workflow logic..."

这样只有属于该专属团队的用户触发的调用，才能正常执行Workflow B的作业。这种方法适合需要通过权限组统一管理的场景。

注意：方法一的校验逻辑能有效拦截正常场景下的非授权调用；方法二更偏向权限层面的管控，但依赖团队成员的权限配置。

内容的提问来源于stack exchange，提问作者Karan Tikku