如何让向GitHub仓库推送的开发者各自提供个人Token给Actions工作流？

下面是几个可行的实操方案，按安全性和实用性排序：

方案1：基于推送者用户名动态匹配仓库秘密（推荐） #

这是最安全且易维护的方式：

• 开发者端操作：
  1. 生成满足工作流权限需求的个人访问令牌（PAT），权限只选工作流用到的（比如repo、workflow），遵循权限最小化原则。
  2. 进入目标仓库的「Settings」→「Secrets and variables」→「Actions」，添加自己的PAT为仓库秘密，命名必须统一规则，比如USER_PAT_你的GitHub用户名（示例：USER_PAT_matthias）。
• 工作流配置：
  修改.github/workflows/xxx.yml，根据推送事件的触发者用户名，自动调用对应的个人令牌：

  name: 你的工作流名称
  on: [push]
  
  jobs:
    execute-task:
      runs-on: ubuntu-latest
      steps:
        - name: 获取推送者用户名
          id: get_dev
          run: echo "username=${{ github.event.sender.login }}" >> $GITHUB_OUTPUT
  
        - name: 使用开发者令牌执行操作
          env:
            DEV_TOKEN: ${{ secrets[format('USER_PAT_{0}', steps.get_dev.outputs.username)] }}
          run: |
            # 替换为需要令牌的实际操作，比如调用GitHub API、拉取私有依赖
            echo "正在使用开发者${{ steps.get_dev.outputs.username }}的令牌执行任务"
  

方案2：让开发者用个人令牌作为Git推送凭据（适用于仓库内操作） #

如果工作流仅需访问当前仓库的权限，开发者可以直接用自己的PAT作为Git推送凭据，让工作流关联到推送者的身份：

• 开发者在本地配置Git凭据：

  # 存储凭据，避免每次推送重复输入
  git config --global credential.helper store
  # 第一次推送时，用户名填自己的GitHub账号名，密码填生成的PAT
  

  后续推送代码时，GitHub会识别推送者身份，工作流若需调用个人权限相关操作，可结合方案1的动态令牌匹配逻辑使用。

不推荐的方案：通过提交信息/标签传递令牌 #

绝对不要采用这种方式——把令牌编码后放到提交信息或临时标签中，虽然能让工作流获取到，但提交信息会永久保存在仓库历史里，极易造成令牌泄露，完全不符合安全规范。

关键注意事项 #

• 权限最小化：每个开发者的PAT仅授予工作流必需的权限，禁止开放全权限。
• 定期轮换：提醒开发者每隔一段时间轮换自己的PAT，降低泄露风险。
• 权限管控：仓库管理员需确保只有授权开发者能添加/修改自己的秘密，避免恶意操作。

内容的提问来源于stack exchange，提问作者Matthias