GitHub Actions中google-github-actions/auth报错，如何注入指定环境变量？

1. 配置工作流的ID Token权限 #

在GitHub Actions工作流文件（如.github/workflows/*.yml）中，必须明确开启id-token的写入权限，同时保证contents权限至少为只读。可选择全局配置或单个Job配置：

全局权限配置（整个工作流生效） #

name: GCP Auth Workflow
permissions:
  id-token: write
  contents: read
on: [push]

jobs:
  auth-job:
    runs-on: ubuntu-latest
    steps:
      - id: 'auth'
        name: 'Authenticate to Google Cloud'
        uses: 'google-github-actions/auth@v0'
        with:
          workload_identity_provider: 'projects/1234/locations/global/workloadIdentityPools/my-github-pool/providers/my-github-oidc-provider'
          service_account: 'my-github-sa@projxyz.iam.gserviceaccount.com'

单个Job权限配置（仅目标Job生效） #

若无需全局设置，可在具体Job内添加权限规则：

jobs:
  auth-job:
    runs-on: ubuntu-latest
    permissions:
      id-token: write
      contents: read
    steps:
      - id: 'auth'
        name: 'Authenticate to Google Cloud'
        uses: 'google-github-actions/auth@v0'
        with:
          workload_identity_provider: 'projects/1234/locations/global/workloadIdentityPools/my-github-pool/providers/my-github-oidc-provider'
          service_account: 'my-github-sa@projxyz.iam.gserviceaccount.com'

2. 处理fork触发的工作流限制 #

如果工作流由fork仓库的PR触发，GitHub默认不会注入这些ID Token环境变量（出于安全限制）。解决方式：

• 限制工作流仅在主仓库的事件（如push、主仓库PR）下运行
• 若必须支持fork PR，可在仓库设置中开启“允许fork仓库发送机密信息到工作流”（此操作存在安全风险，需谨慎评估）

3. 确认运行环境为GitHub托管Runner #

确保工作流运行在GitHub官方托管的Runner上，自托管Runner需额外配置才能获取这些环境变量，若使用自托管环境需补充对应权限与配置。

内容的提问来源于stack exchange，提问作者Brian C.