如何在当前PR成功部署至ECS前禁用其他PR的合并权限？

一、核心思路：全局状态检查实现跨PR阻塞 #

普通分支保护规则仅针对单个PR，要实现「当前PR部署完成前禁用其他PR合并」，需要全局级别的必填状态检查——所有PR必须等待这个全局状态变为成功才能合并。

1. 配置GitHub全局必填状态检查 #

在仓库的「分支保护规则」中：

• 添加自定义状态检查项（例如命名为global-deployment-lock）
• 勾选「要求所有指定状态检查通过」，将该状态设为必填项

2. 用AWS Lambda+SNS控制全局状态流转 #

流程逻辑：

• 当PR触发GitHub Action启动CodePipeline时，先调用GitHub API将global-deployment-lock设为pending，此时所有其他PR因该状态未通过，无法合并
• CodePipeline执行完成后：
  • 成功：调用API将global-deployment-lock设为success，解除全局阻塞
  • 失败：设为failure，保持阻塞（需人工干预或修复后重新触发状态更新）

联动方式：

• 给CodePipeline配置状态变更通知：在AWS CodePipeline的「通知规则」中，将成功/失败/取消等状态事件发送到指定SNS主题
• 用Lambda订阅该SNS主题，接收CodePipeline状态后，调用GitHub API更新全局状态

3. 防止多PR同时触发部署 #

在PR的GitHub Action开头添加前置检查：

# 检查全局状态是否为pending
GLOBAL_STATUS=$(gh api repos/{你的仓库名}/statuses/{当前PR的Commit SHA} --jq '.[] | select(.context == "global-deployment-lock") | .state')
if [ "$GLOBAL_STATUS" == "pending" ]; then
  echo "当前有PR正在部署，本PR触发失败"
  exit 1
fi

二、解决"github expected — waiting for status to be reported"问题 #

这个提示是因为分支保护规则中指定的状态检查项，没有对应的系统上报状态。解决方法：

• 使用GitHub Status API上报状态，示例命令（可在Lambda或脚本中执行）：

gh api repos/{owner}/{repo}/statuses/{commit-sha} \
  -X POST \
  -f state="success" \
  -f description="全局部署锁已解除" \
  -f context="global-deployment-lock"

• 注意：context参数必须和分支保护规则中设置的状态检查名称完全一致，否则GitHub无法识别，会一直显示等待状态

三、SNS与GitHub联动的具体配置 #

1. 创建SNS主题：在AWS控制台创建标准SNS主题，记录ARN
2. 配置CodePipeline通知：进入CodePipeline的「通知规则」，添加规则，选择要监听的状态（如失败、成功），目标选择刚才创建的SNS主题
3. 配置Lambda函数：
   • 订阅该SNS主题，设置触发条件为SNS消息
   • 给Lambda配置IAM权限：允许读取SNS消息、访问AWS Secrets Manager（存储GitHub个人访问令牌）、调用GitHub API
   • Lambda核心逻辑：解析SNS中的CodePipeline状态，调用GitHub API更新global-deployment-lock状态

四、细节优化 #

• 当PR被关闭/取消时，触发GitHub Action调用API将全局状态设为success，避免永久阻塞
• 给Lambda添加超时逻辑：如果CodePipeline超过指定时间（如30分钟）仍处于pending，自动将全局状态设为failure并通知维护人员
• 存储GitHub令牌时，使用AWS Secrets Manager而非硬编码，保证安全

内容的提问来源于stack exchange，提问作者BoJax