React+GH-pages部署中无权限范围PAT被撤销问题求助

API 探路者

2026-8-17

解决建议

先定位.env是否被部署
直接排查部署产物和本地构建结果：
1. 访问GH-Pages站点，打开开发者工具网络面板，检查是否有.env文件被加载；
2. 本地执行npm run build后，查看build文件夹内是否存在.env文件；
3. 搜索build/static/js/*.js文件，确认是否有PAT字符串被硬编码进去——如果存在，说明变量已被注入到打包代码中，这会触发GitHub的秘密扫描。
修正CI脚本的环境变量格式
React要求环境变量格式为KEY=VALUE，不能带空格和冒号。同时构建完成后立即删除.env避免误部署，修正后的脚本：
```
- run: |
      cd ./frontend
      echo 'REACT_APP_GHTOKEN=${{ secrets.REACT_APP_GHTOKEN }}' >> .env
      npm install
      npm run build
      rm .env  # 构建完成后删除临时.env文件
```
注意：直接引用secrets.REACT_APP_GHTOKEN而非env.REACT_APP_GHTOKEN，确保从GitHub Secrets正确读取变量。
确保仅部署build文件夹内容
检查GH-Pages部署配置：
- 使用gh-pages npm包时，命令需明确指定gh-pages -d build，只部署构建产物目录；
- 若用GitHub Actions部署，确认上传的是./frontend/build下的内容，而非整个frontend目录。
检查.gitignore配置
确保项目根目录和frontend目录的.gitignore包含以下规则，防止.env文件被Git追踪：
```
.env
.env.local
.env.development.local
.env.test.local
.env.production.local
```
优化环境变量注入方式（推荐）
React在CI环境下会自动读取REACT_APP_开头的环境变量，无需手动创建.env文件。直接在构建命令中注入变量即可：
```
- run: |
      cd ./frontend
      npm install
      REACT_APP_GHTOKEN=${{ secrets.REACT_APP_GHTOKEN }} npm run build
```
这种方式完全规避了创建.env文件的风险，更安全可靠。
查看GitHub秘密扫描告警
进入仓库的「Security」标签页，查看「Secret scanning」的告警记录——这里会明确指出PAT出现在哪个文件中，直接定位问题根源。