GitHub Actions如何检查当前登录用户是否属于指定团队？

GitHub Actions没有内置的团队成员检查能力，要实现仅允许指定团队（比如DBA团队）成员运行任务的需求，得通过调用GitHub REST API验证用户身份，再根据结果控制工作流执行。以下是具体实现方案：

方案一：通过GitHub API验证团队成员身份（推荐） #

这种方式支持团队成员动态更新，无需手动维护用户列表，适合组织级或仓库级团队的场景。

1. 准备权限足够的Token #

如果要检查组织级团队，默认的GITHUB_TOKEN权限不足，需要创建一个带read:org权限的个人访问令牌（PAT），并将其添加到仓库机密中（比如命名为ORG_READ_TOKEN）。如果是仓库级团队，直接用默认的GITHUB_TOKEN即可。

2. 工作流示例代码 #

jobs:
  # 第一步：检查用户是否属于目标团队
  verify-team-membership:
    runs-on: ubuntu-latest
    outputs:
      is_authorized: ${{ steps.check-membership.outputs.is_authorized }}
    steps:
      - name: Check if user is in DBA team
        id: check-membership
        uses: actions/github-script@v7
        with:
          github-token: ${{ secrets.ORG_READ_TOKEN }} # 组织团队用这个，仓库团队替换为 secrets.GITHUB_TOKEN
          script: |
            // 替换成你的组织名和团队slug
            const orgName = "your-org-name";
            const teamSlug = "dba-team"; // 团队slug可从团队页面URL获取，比如https://github.com/orgs/xxx/teams/dba-team中的dba-team
            const username = "${{ github.actor }}";

            try {
              // 调用API检查用户的团队成员身份
              await github.rest.teams.getMembershipForUserInOrg({
                org: orgName,
                team_slug: teamSlug,
                username: username
              });
              // 验证通过，输出true
              core.setOutput("is_authorized", "true");
            } catch (err) {
              // 404状态码表示用户不在团队中
              if (err.status === 404) {
                core.setOutput("is_authorized", "false");
              } else {
                // 其他错误（比如权限不足）直接抛出，终止工作流
                throw err;
              }
            }

  # 第二步：仅当用户验证通过时运行任务
  run-authorized-job:
    needs: verify-team-membership
    if: ${{ needs.verify-team-membership.outputs.is_authorized == 'true' }}
    runs-on: ubuntu-latest
    steps:
      - name: Execute restricted task
        run: |
          echo "正在执行仅DBA团队成员可访问的任务..."
          # 这里写你的具体任务逻辑

关键细节说明 #

• 团队Slug怎么找：打开团队的GitHub页面，URL里/teams/后面的部分就是slug，比如团队名为“Database Administrators”，slug可能是database-administrators。
• Token权限问题：组织级团队必须用带read:org权限的PAT，否则API会返回403禁止访问的错误。
• 错误处理：只把404错误判定为“用户不在团队”，其他错误直接终止工作流，避免因API故障导致误放行。

方案二：手动维护允许用户列表（适合小团队/固定用户场景） #

如果无法创建PAT，也可以直接在工作流里维护一个允许的用户名列表，但这种方式需要手动更新，灵活性较差：

jobs:
  check-user-access:
    runs-on: ubuntu-latest
    outputs:
      is_allowed: ${{ steps.validate-user.outputs.is_allowed }}
    steps:
      - name: Validate user against allowed list
        id: validate-user
        run: |
          # 替换成你允许的用户名，用空格分隔
          ALLOWED_USERS="alice bob charlie"
          if echo "$ALLOWED_USERS" | grep -w "${{ github.actor }}"; then
            echo "is_allowed=true" >> $GITHUB_OUTPUT
          else
            echo "is_allowed=false" >> $GITHUB_OUTPUT
          fi

  run-restricted-task:
    needs: check-user-access
    if: ${{ needs.check-user-access.outputs.is_allowed == 'true' }}
    runs-on: ubuntu-latest
    steps:
      - name: Run task
        run: echo "任务执行中..."

内容的提问来源于stack exchange，提问作者ChzDz