如何配置GitHub Dependabot使其拥有GHCR镜像推送权限？

核心问题在哪？ #

你之前的配置搞错了方向：把GHCR的注册表配置绑到了github-actions的更新规则里，但实际上Dependabot只是帮你更新Workflow里的Actions版本，真正推镜像的是你的GitHub流水线（Workflow），不是Dependabot自己。所以问题出在流水线运行时的权限不够，不是Dependabot的配置问题。

正确操作步骤 #

1. 先把Dependabot配置改回原样 #

既然Dependabot只负责更新GitHub Actions，完全不需要关联GHCR注册表，恢复基础配置就行：

version: 2
updates:
- package-ecosystem: github-actions
  directory: "/"
  schedule:
    interval: monthly
    time: "13:00"

2. 给流水线加GHCR推送权限 #

Dependabot触发Workflow时，默认的GITHUB_TOKEN权限是只读的，得在你的镜像构建推送Workflow里加权限：

方法一：用默认Token提权

在Workflow文件开头加权限配置，给packages开写入权限：

name: 构建并推送镜像
on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]

permissions:
  contents: read
  packages: write  # 关键：授予GHCR包的写入权限

jobs:
  build-push:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      
      - name: 登录GHCR
        uses: docker/login-action@v3
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}  # 使用默认token即可
      
      # 后续的构建、打标签、推送步骤按原有逻辑编写即可

方法二：用自定义PAT（跨仓库推送时适用）

如果是跨仓库推送镜像，默认Token权限不够，就创建一个带write:packages权限的个人访问令牌（PAT），存到仓库的Secrets中（比如命名为GHCR_PUSH_TOKEN），然后在Workflow中调用：

- name: 登录GHCR
  uses: docker/login-action@v3
  with:
    registry: ghcr.io
    username: 你的GitHub用户名
    password: ${{ secrets.GHCR_PUSH_TOKEN }}

3. 检查仓库的Workflow权限设置 #

还要确保Dependabot能触发有权限的Workflow：

• 进入仓库的Settings → Actions → General
• 在Workflow permissions区域选择Read and write permissions
• 按需勾选Allow GitHub Actions to create and approve pull requests

重要提醒 #

别搞混Dependabot的权限和流水线的权限：Dependabot的注册表配置是用来拉取私有依赖的，推镜像是流水线的任务，得给流水线的运行身份单独开权限。

内容的提问来源于stack exchange，提问作者R. Barrett