如何保护GitHub分支仅允许GitHub Actions推送，禁止他人操作？

1. 进入分支保护规则设置 #

在你的GitHub仓库页面，依次点击顶部「Settings」→ 左侧菜单栏「Branches」→ 在「Branch protection rules」板块点击「Add rule」。

2. 配置核心保护规则 #

• 在「Branch name pattern」输入框中填写gh-pages，精准匹配目标分支。
• 勾选「Restrict who can push to matching branches」选项，开启推送权限限制。
• 在「Allowed users, teams, or apps」输入框中添加github-actions[bot]，这是GitHub Actions默认使用的推送账号。
• 确保仓库的其他成员（包括管理员）不在允许列表内，彻底禁止手动推送操作。

3. 可选的强化限制 #

• 勾选「Do not allow bypassing the above settings」，确保仓库管理员也无法绕过该规则。
• 如果你的工作流包含状态检查，可勾选「Require status checks to pass before merging」，进一步保证推送内容的合法性。

4. 工作流中的配套配置 #

在你的GitHub工作流文件里，推送gh-pages分支时要使用默认的GITHUB_TOKEN，这个token对应的身份就是github-actions[bot]，示例推送逻辑如下：

- name: Push to gh-pages
  run: |
    git config user.name "github-actions[bot]"
    git config user.email "github-actions[bot]@users.noreply.github.com"
    git push origin main:gh-pages

或者使用官方的actions/checkout和actions/deploy-pages等动作，它们默认会使用合法的token进行推送。

内容的提问来源于stack exchange，提问作者AugustusCaesar