GitHub Actions修改Workflow文件权限问题及替代方案咨询

你遇到的权限问题本质是GitHub Actions的固有限制：即使使用带workflows权限的PAT，也可能因分支保护规则、Action运行上下文的默认权限限制导致修改workflow文件失败。更关键的是，动态修改workflow文件本身并非GitHub推荐的实践，容易引发版本历史混乱、循环执行等问题。

下面提供两种无需修改workflow文件的解决方案，既避免权限问题，又能实现按赛事时间动态调度的需求：

方案1：调度器工作流+执行时间文件存储 #

通过一个辅助调度器工作流定期检查执行时间，触发主工作流运行，核心逻辑是将下次执行时间存储在仓库文件中，而非修改workflow配置。

1.1 主工作流配置（live_basket_matches.yml） #

负责抓取赔率、分析数据，并将下次执行时间写入仓库文件：

name: Live Basket Odds Analysis
on:
  workflow_dispatch: # 支持手动触发
  workflow_call: # 允许被调度器调用

jobs:
  analyze-odds:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          persist-credentials: false
          fetch-depth: 0

      - name: Set up Python
        uses: actions/setup-python@v5
        with:
          python-version: '3.11'

      - name: Install dependencies
        run: pip install requests python-dotenv

      - name: Run analysis and calculate next run time
        env:
          GITHUB_PAT: ${{ secrets.PAT_WITH_REPO_WRITE }}
        run: python your_analysis_script.py

      - name: Commit and push next run time
        run: |
          git config --global user.name "GitHub Actions"
          git config --global user.email "actions@github.com"
          git add next_run_time.json
          git commit -m "Update next run time"
          git push https://${{ secrets.PAT_WITH_REPO_WRITE }}@github.com/${{ github.repository }}.git

1.2 Python分析脚本（your_analysis_script.py） #

计算下一场赛事的提前执行时间，写入JSON文件：

import json
from datetime import datetime, timedelta

# 替换为你的实际赛事时间获取逻辑
next_match_time = datetime.now() + timedelta(hours=8)
# 提前10分钟执行分析
next_run_time = next_match_time - timedelta(minutes=10)

# 写入文件
with open('next_run_time.json', 'w') as f:
    json.dump({'next_run_time': next_run_time.isoformat()}, f)

1.3 调度器工作流配置（scheduler.yml） #

每5分钟检查一次执行时间，到点触发主工作流：

name: Scheduler for Odds Analysis
on:
  schedule:
    - cron: '*/5 * * * *' # 每5分钟运行一次
  workflow_dispatch:

jobs:
  check-and-trigger:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Set up Python
        uses: actions/setup-python@v5
        with:
          python-version: '3.11'

      - name: Check execution time
        id: check_time
        run: |
          python << 'EOF'
          import json
          from datetime import datetime

          with open('next_run_time.json', 'r') as f:
              data = json.load(f)
              next_run = datetime.fromisoformat(data['next_run_time'])
              now = datetime.now()
              print(f"::set-output name=trigger::{now >= next_run}")
          EOF

      - name: Trigger main workflow
        if: steps.check_time.outputs.trigger == 'true'
        uses: actions/github-script@v6
        with:
          github-token: ${{ secrets.PAT_WITH_REPO_WRITE }}
          script: |
            await github.rest.actions.createWorkflowDispatch({
              owner: context.repo.owner,
              repo: context.repo.repo,
              workflow_id: 'live_basket_matches.yml',
              ref: 'main'
            })

方案2：GitHub API触发延迟执行（进阶） #

如果不想让调度器频繁运行，可以通过Python脚本计算下次执行时间，调用GitHub API创建一次性工作流触发请求。但需注意：GitHub不支持直接设置延迟触发，需借助外部定时服务（如AWS Lambda、Cloudflare Workers）实现延迟，核心逻辑是：

1. 脚本计算出下次执行时间，将触发请求发送到外部定时服务
2. 定时服务到点后调用GitHub API触发主工作流

此方案适合对资源占用敏感的场景，但需要额外维护外部服务。

• PAT需拥有repo权限（用于提交文件、触发工作流），无需workflows权限
• 在仓库Settings > Secrets and variables > Actions中添加PAT作为秘密变量（如PAT_WITH_REPO_WRITE）
• 若main分支有保护规则，需允许PAT持有者直接推送，或取消next_run_time.json文件的分支保护

内容的提问来源于stack exchange，提问作者agdt