GitHub Actions无需PAT访问私有仓库：GitHub App认证401问题排查

实施思路是否正确？ #

完全正确。用GitHub App替代个人PAT是企业级场景下的最优选择——它独立于个人账号，权限可精细管控，不会因为员工离职等情况导致认证失效，符合安全合规要求。

401认证失败的排查与解决 #

针对你遇到的curl请求返回401的问题，按以下步骤逐一排查：

1. 检查JWT生成的正确性 #

GitHub App的JWT必须严格符合格式要求：

• Header：必须是{"alg":"RS256","typ":"JWT"}，不能使用其他加密算法
• Payload：
  • iss：必须是你的GitHub App的ID（不是Installation ID）
  • exp：过期时间戳，必须设置在当前时间之后10分钟以内（GitHub强制限制，超过会直接失效）
  • iat：当前时间戳，不能早于当前时间或晚于exp
• 签名：必须使用GitHub App生成的私钥（.pem文件）进行签名，不能用公钥或其他密钥

可以用本地jwt命令行工具验证生成的JWT是否符合上述要求。

2. 确认Installation ID无误 #

Installation ID是GitHub App安装到组织后的专属ID，和App ID是两个不同的概念：

• 可以通过访问GitHub App的安装页面（组织设置→安装的应用→你的App），从URL中提取（格式为https://github.com/organizations/[你的组织名]/settings/installations/[Installation ID]）
• 也可以用正确生成的JWT调用GET /app/installations API获取所有安装实例的ID

3. 验证App权限与仓库访问范围 #

• 确保GitHub App在创建时配置了读取仓库发布资产所需的权限：至少需要Contents权限设为Read，如果涉及到包资产，还需要Packages权限设为Read
• 确认App安装到组织时，已选择包含私有仓库B（默认可能只选了部分仓库，需要手动勾选）

4. 检查请求头与格式 #

• 确保Authorization头的格式正确：Bearer 后面紧跟完整的JWT，没有空格缺失或多余换行
• Accept头使用application/vnd.github.v3+json或application/vnd.github+json（两者都兼容，避免使用未指定版本的头）

5. 私钥格式验证 #

私钥文件必须是完整的PEM格式：

-----BEGIN RSA PRIVATE KEY-----
[私钥内容]
-----END RSA PRIVATE KEY-----

确保没有多余的空行、注释或格式错误，部分工具导出的私钥可能会有额外内容，需要清理后再使用。

持久化认证凭据的替代方案 #

GitHub App的JWT最长有效期为10分钟，无法持久化；安装访问令牌最长有效期为1小时，同样不适合长期存储。推荐使用GitHub官方提供的actions/create-github-app-token动作，在工作流运行时动态生成临时访问令牌，无需手动管理JWT和curl请求：

工作流示例 #

jobs:
  download-asset:
    runs-on: ubuntu-latest
    steps:
      - name: Generate GitHub App token
        id: generate-token
        uses: actions/create-github-app-token@v1
        with:
          app-id: ${{ secrets.APP_ID }}
          private-key: ${{ secrets.APP_PRIVATE_KEY }}
          installation-id: ${{ secrets.INSTALLATION_ID }}

      - name: Download release asset
        run: |
          curl -L -O \
            -H "Authorization: token ${{ steps.generate-token.outputs.token }}" \
            https://api.github.com/repos/[组织名]/[仓库B]/releases/assets/[资产ID]

将GitHub App的APP_ID、APP_PRIVATE_KEY、INSTALLATION_ID存入仓库A的GitHub Secrets中即可，每次工作流运行时会自动生成有效的访问令牌，完全满足安全和易用性要求。

内容的提问来源于stack exchange，提问作者Michael Lihs