如何配置GITHUB_TOKEN以支持Terraform拉取GitHub私有模块？

1. 修正工作流的权限配置 #

你当前设置的repository-projects: read权限不符合需求，Terraform拉取模块需要读取仓库内容的权限，应将工作流的permissions改为：

permissions:
  contents: read

这是GITHUB_TOKEN获取私有仓库代码的核心权限，默认的GITHUB_TOKEN在配置该权限后，可访问同一组织内的私有仓库。

2. 优化Git配置替换规则 #

你的现有替换规则仅覆盖ssh://git@github.com格式，但Terraform的模块源是git::git@github.com格式，建议修改为更通用的规则，确保所有SSH格式的GitHub仓库地址都被替换为HTTPS：

git config --global url."https://oauth2:$GITHUB_TOKEN@github.com/".insteadOf "git@github.com:"

这样无需针对单个仓库配置，所有git@github.com:<org>/<repo>.git的地址都会自动转为带token的HTTPS地址。

3. 跨组织/独立仓库的额外配置 #

如果模块仓库和运行工作流的仓库不在同一组织下，需要额外配置：

• 登录模块仓库所在的GitHub组织/账号，进入目标模块仓库的Settings > Actions > General
• 在Workflow permissions部分，确保启用允许外部仓库的GITHUB_TOKEN访问，或者直接给运行工作流的仓库所在组织/账号添加模块仓库的Read权限（在仓库的Settings > Collaborators and teams中添加）

4. 验证权限生效 #

修改完成后重新运行工作流，terraform init即可通过GITHUB_TOKEN完成私有模块的拉取，无需使用PAT。

内容的提问来源于stack exchange，提问作者Prashant Kalkar