在GitHub Actions中提升GITHUB_TOKEN权限能否覆盖分支保护规则？

每个GitHub Actions工作流运行时都会获取一个带限定作用域、拥有特定权限的GITHUB_TOKEN。根据官方说明，pull_requests的默认权限为read/write。如果仓库设置了分支保护规则（比如合并PR前必须通过审核），无法通过提升GITHUB_TOKEN的权限来绕过该规则。

原因如下：

• 分支保护规则是仓库层面的强制约束，和GITHUB_TOKEN的权限体系相互独立。GITHUB_TOKEN的权限仅控制是否能调用相关API执行操作，但分支保护规则会对分支的合并等操作施加额外限制，哪怕token拥有读写权限，也无法突破这些规则。
• 比如若分支保护要求PR必须经过至少一个审核者批准，即使GITHUB_TOKEN有pull_requests的write权限，用它尝试合并未审核的PR时，依然会被GitHub拦截。

如果需要让工作流配合分支保护规则完成自动合并，可行的思路包括：

• 配置工作流作为PR的审核者，让工作流自动完成审核操作（需确保符合分支保护中关于审核者的要求）
• 确保工作流触发的CI/CD检查全部通过，满足分支保护里的状态检查要求
• 若为内部仓库且有特殊需求，可使用拥有仓库管理员权限的个人访问令牌（PAT）替代GITHUB_TOKEN，但这种方式存在较高安全风险，不推荐常规使用

内容的提问来源于stack exchange，提问作者pkaramol