GitHub Actions中镜像拉取与推送失败问题求助

问题背景 #

正在学习testdriven.io的《Test-Driven Development with FastAPI and Docker》课程，完成持续集成章节后推送包含GitHub Actions的Pull Request，执行时Docker登录GHCR环节失败。已尝试扩展个人访问令牌（PAT）权限范围、将docker.pkg.github.com替换为ghcr.io，但问题仍未解决。

关键错误信息 #

Error: Docker login failed with error: Error response from daemon: Get "https://ghcr.io/v2/": unauthorized: Your request could not be authenticated by the GitHub Packages service. Please ensure your access token is valid and has the appropriate scopes configured.

当前PAT权限设置 #

已勾选repo权限组下的所有子权限。

针对性排查与修复步骤 #

1. 补全PAT的必要权限
   GHCR镜像推送需要的核心权限包括：

   • write:packages：允许推送/修改镜像包
   • read:packages：允许拉取镜像包
   • repo：关联仓库的读写权限
     当前PAT仅勾选了repo组，需手动添加write:packages和read:packages权限，重新生成令牌后更新到GitHub仓库的Secrets中。

2. 校验Actions工作流登录命令
   确保登录GHCR的命令配置正确，Secrets名称与仓库中存储的一致：

   - name: Log in to GitHub Container Registry
     uses: docker/login-action@v2
     with:
       registry: ghcr.io
       username: ${{ github.actor }}
       password: ${{ secrets.YOUR_PAT_SECRET_NAME }}
   

   注意：username必须填写GitHub用户名，不能使用邮箱；password对应的Secrets需与更新后的PAT完全匹配。

3. 检查仓库Packages权限配置
   进入GitHub仓库的「Settings」→「Packages」→「Package settings」，确认当前用户（或Actions运行身份）拥有该镜像包的「Write」权限。若为组织仓库，还需检查组织级的Packages权限规则。

4. 开启PR的Actions权限（针对Fork仓库场景）
   如果是在Fork仓库提交PR，GitHub默认会限制Actions访问原仓库的Secrets。需在原仓库的「Settings」→「Actions」→「General」中，开启「Allow GitHub Actions to create and approve pull requests」，并将「Workflow permissions」设置为「Read and write permissions」。

5. 本地验证PAT有效性
   在本地执行以下命令，测试令牌是否能正常登录GHCR：

   echo "你的PAT令牌内容" | docker login ghcr.io -u 你的GitHub用户名 --password-stdin
   

   若登录失败，说明令牌权限仍有问题，需重新生成包含write:packages、read:packages、repo权限的PAT。

内容的提问来源于stack exchange，提问作者GMARVILLE