Github Actions拉取私有Terraform模块认证失败求助

1. 先确认PAT本身没问题 #

• 检查PAT的权限：必须勾上repo全仓库权限，同时去组织设置里看看有没有限制PAT访问的政策，确保这个token能访问tf-modules仓库。
• 手动测一遍：在本地用git clone https://<你的PAT>@github.com/custom-organization/tf-modules.git，要是克隆失败，那就是token本身的问题，重新生成一个权限正确的。

2. 检查Actions工作流里密钥的引用是否正确 #

• 首先，你把密钥存在了mgmt-scp环境下，工作流里必须明确指定environment: mgmt-scp，不然读不到这个密钥。比如：

jobs:
  terraform:
    runs-on: ubuntu-latest
    environment: mgmt-scp # 必须加这行才能访问该环境的密钥
    steps:
      - uses: actions/checkout@v4
      - uses: hashicorp/setup-terraform@v3
      - name: Terraform Init
        env:
          GITHUB_TOKEN: ${{ secrets.CUSTOM_TOKEN }} # 把自定义token赋值给Terraform默认用的GITHUB_TOKEN
        run: terraform init

• 要是上面的不行，试试直接在模块源里带token测试（不推荐长期用，但能排查问题）：
  在main.tf里改成：

module "ec2" {
  source = "git::https://${var.github_token}@github.com/custom-organization/tf-modules.git//modules/ec2"
  # 其他变量配置...
}

然后在init命令里传变量：

terraform init -var "github_token=${{ secrets.CUSTOM_TOKEN }}"

3. 核对模块源路径是否正确 #

• 确认tf-modules仓库里确实有modules/ec2这个目录，注意GitHub路径是大小写敏感的，别写错大小写。另外//modules/ec2的格式是对的，Terraform会把//后面当成仓库内的子路径。

4. 检查runner的网络和权限 #

• 要是用的是组织自托管runner，看看有没有代理或者防火墙拦着访问GitHub；用GitHub托管runner的话，基本没问题，但可以加一步测试连通性：

run: curl -I https://github.com/custom-organization/tf-modules.git

5. 清掉Terraform缓存再试 #

• 有时候旧的缓存会搞事情，在init之前加一步清理：

- name: Clear Terraform cache
  run: rm -rf .terraform/ .terraform.lock.hcl

• Terraform拉取私有Git模块时，默认会用GITHUB_TOKEN环境变量做认证，所以把你的自定义PAT赋值给这个变量是最省心的方式。
• GitHub环境密钥必须和工作流里的environment字段对应，不然密钥会被隐藏，读不到。
• 经典PAT只要有repo权限组，就能访问私有仓库，不需要额外的组织级权限，除非你的组织设置了PAT访问限制。

内容的提问来源于stack exchange，提问作者theborngeek