GitHub Actions工作流调用REST API返回500错误排查求助

核心原因分析 #

你遇到的问题大概率是GITHUB_TOKEN的权限不足导致的，和本地PAT的核心区别在于：

• 本地PAT是手动创建的，通常会被赋予组织级别的packages:read等权限；
• GitHub Actions自动生成的GITHUB_TOKEN默认权限非常有限，尤其是在workflow_call触发的场景下，默认不会包含查询组织包所需的权限。

解决方案 #

1. 显式配置GITHUB_TOKEN的权限 #

在你的工作流中添加permissions字段，明确授予packages:read权限，调整后的代码如下：

on:
  workflow_call:

permissions:
  packages: read

jobs:
  my_job:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: try querying REST API
        run: |
          curl --request GET \
          --url https://api.github.com/orgs/MY_ORG/packages?package_type=container \
          --header 'authorization: Bearer ${{ secrets.GITHUB_TOKEN }}' \
          --header 'accept: application/vnd.github+json' \
          --fail

2. 检查调用方工作流的权限传递 #

如果这个工作流是被其他工作流通过workflow_call触发的，需要确保调用方在调用时也传递了足够的权限。比如调用方的工作流中，调用部分需指定权限：

jobs:
  call-external-workflow:
    uses: owner/repo/.github/workflows/your-workflow.yml@main
    permissions:
      packages: read

3. 验证令牌权限（可选） #

可以在工作流中添加步骤，临时查看GITHUB_TOKEN的权限范围（注意不要泄露令牌内容）：

- name: Check token scope
  run: |
    curl --request GET \
    --url https://api.github.com/user \
    --header 'authorization: Bearer ${{ secrets.GITHUB_TOKEN }}' \
    --header 'accept: application/vnd.github+json'

查看响应中的scope字段，如果没有包含packages:read，则说明权限确实不足。

内容的提问来源于stack exchange，提问作者SleepyJack