如何获取可验证PR提交者团队身份的GitHub Token？

为什么默认的GITHUB_TOKEN会返回404？ #

默认的GITHUB_TOKEN权限非常有限，它不具备读取组织团队成员的read:org权限——这正是调用团队成员API必需的权限。另外如果你的Action是由fork仓库的PR触发的，GITHUB_TOKEN的权限会被进一步限制，连组织级别的API都无法访问。

能不能用GITHUB_TOKEN模拟PR提交用户？ #

不行。GITHUB_TOKEN本质是代表GitHub Action机器人或者当前仓库的身份令牌，无法模拟PR提交用户的身份。而且验证用户是否属于团队根本不需要模拟，只需要有一个具备read:org权限的令牌去查询即可。

正确的解决方案 #

1. 创建一个仅带有read:org权限的PAT（个人访问令牌），遵循最小权限原则，不要给多余权限。
2. 将这个PAT添加到仓库的Secrets中，比如命名为ORG_READ_TOKEN。
3. 修改你的Action步骤，使用这个自定义令牌来验证PR提交用户的团队身份：

- name: Check team membership
  run: |
    # 获取PR提交用户的登录名
    PR_AUTHOR="${{ github.event.pull_request.user.login }}"
    # 调用API检查用户是否在指定团队中
    RESPONSE=$(curl -s -o /dev/null -w "%{http_code}" \
      -H "Authorization: Bearer ${{ secrets.ORG_READ_TOKEN }}" \
      https://api.github.com/orgs/fabriq-cloud/teams/fabriq/members/${PR_AUTHOR})
    # 根据状态码判断：204表示用户是团队成员，404表示不是
    if [ "$RESPONSE" -eq 204 ]; then
      echo "PR提交用户属于目标团队"
    else
      echo "PR提交用户不属于目标团队，终止部署"
      exit 1
    fi

额外说明 #

你本地的PAT能成功调用API，是因为你创建它的时候赋予了read:org权限，而默认的GITHUB_TOKEN没有这个权限，所以才会返回404。

内容的提问来源于stack exchange，提问作者outside2344