能否使用GitHub应用令牌替代个人访问令牌用于github/checkout？

问题分析 #

你遇到的错误提示：

could not read Username for 'https://github.com': terminal prompts disabled

本质是默认的GITHUB_TOKEN权限不足，或者令牌无法完成身份验证。默认GITHUB_TOKEN权限有限，无法满足推送代码到受保护分支这类高权限操作，用GitHub应用生成的令牌替代是完全可行的，这也是获取更高权限的标准方案。

正确配置步骤 #

1. 创建并配置GitHub应用 #

• 生成GitHub应用，给它授予仓库的contents读写权限（根据实际需求可添加pull requests、issues等其他权限）
• 生成应用的私钥（.pem格式文件），妥善保存该文件

2. 在仓库中添加机密 #

• 将GitHub应用的App ID添加到仓库机密，命名为APP_ID
• 将私钥的完整内容添加到仓库机密，命名为PRIVATE_KEY

3. 修改GitHub Actions工作流 #

需要先获取GitHub应用的访问令牌，再用该令牌执行checkout和后续推送操作：

jobs:
  update-repo:
    runs-on: ubuntu-latest
    steps:
      # 生成GitHub应用访问令牌
      - name: Generate GitHub App token
        id: get-token
        uses: tibdex/github-app-token@v1
        with:
          app_id: ${{ secrets.APP_ID }}
          private_key: ${{ secrets.PRIVATE_KEY }}
          repository: ${{ github.repository }}

      # 使用应用令牌执行checkout
      - uses: actions/checkout@v3
        with:
          token: ${{ steps.get-token.outputs.token }}
          # 禁用默认凭据，避免和应用令牌冲突
          persist-credentials: false

      # 执行代码修改操作（示例：更新README）
      - name: Modify code
        run: echo "Updated via GitHub App" >> README.md

      # 推送修改到仓库
      - name: Push changes
        run: |
          git config --global user.name "GitHub App Bot"
          git config --global user.email "your-app-name@users.noreply.github.com"
          git add README.md
          git commit -m "Update content via GitHub App"
          git push origin main

关键注意事项 #

• 必须设置persist-credentials: false，防止默认GITHUB_TOKEN和应用令牌产生冲突
• 确保GitHub应用的权限覆盖你需要执行的操作（比如推送代码必须要有contents:write权限）
• 私钥要完整添加到仓库机密，不能丢失换行或出现多余空格

内容的提问来源于stack exchange，提问作者Pablo Fernandez