使用GitHub GraphQL API执行addStar突变时的权限错误排查

问题场景 #

开发一款Android应用，用于列出随机仓库并为指定仓库添加星标。使用Altair执行addStar突变时，持续收到错误Resource not accessible by personal access token，但在GitHub GraphQL Explorer中执行相同突变可成功为仓库添加星标。使用的是细粒度个人访问令牌（PAT），且query操作可正常执行。

突变代码 #

mutation AddStarMutation($id: ID!) { 
  addStar(input: {
    starrableId: $id
  }) {
    starrable {
      id
      stargazerCount
      viewerHasStarred
    }
  }
}

错误信息 #

{
  "data": {
    "addStar": null
  },
  "errors": [
    {
      "type": "FORBIDDEN",
      "path": [
        "addStar"
      ],
      "extensions": {
        "saml_failure": false
      },
      "locations": [
        {
          "line": 2,
          "column": 3
        }
      ],
      "message": "Resource not accessible by personal access token"
    }
  ]
}

当前令牌权限配置 #

疑问解答 #

1. 能否为公开仓库添加星标？若可以，如何操作？ #

可以为公开仓库添加星标，问题核心在于细粒度PAT的权限配置不匹配：

• 细粒度PAT的权限是精准控制的，即使是公开仓库的addStar操作，也需要满足两个配置要求：
  • 在令牌的「Repository access」选项中，选择包含目标公开仓库的范围（比如「All repositories」，或手动指定该仓库）
  • 在「Repository permissions」的「Contents」权限中，必须设置为Read and write（星标操作属于修改类操作，需要写入权限）
• 重新配置令牌后，再次执行突变即可正常为公开仓库添加星标。

2. 若无法使用个人访问令牌对公开仓库执行突变，为何文档中提供addStar接口？ #

addStar接口完全支持使用PAT对公开仓库执行突变，出现权限问题仅因令牌配置不符合要求：

• 细粒度PAT和经典PAT的权限逻辑不同：经典PAT的repo权限会覆盖所有仓库相关操作，而细粒度PAT需要手动配置每个权限维度
• GitHub GraphQL Explorer使用的是当前登录账号的会话权限（等同于全权限临时令牌），所以无需额外配置即可执行操作，但自定义的细粒度PAT必须手动匹配对应权限才能完成相同操作

额外排查步骤 #

• 确认令牌未过期，且创建时未遗漏上述权限配置
• 核对突变中的starrableId是否为目标仓库的正确ID，避免传值错误
• 可临时使用经典PAT测试，若经典PAT能成功执行，即可确认问题出在细粒度PAT的权限配置上

内容的提问来源于stack exchange，提问作者vr4u