如何限制GitHub Actions工作流仅允许组织成员触发运行

针对公共仓库中任何人都能触发CI工作流消耗AWS资源的问题，以下是主流CI工具的具体配置方案：

GitHub Actions 配置方式 #

1. 工作流内添加触发条件判断 #

直接在工作流YAML文件中，给任务添加条件，仅允许指定组织成员或团队触发：

on: [push, pull_request]

jobs:
  aws-deploy:
    runs-on: ubuntu-latest
    # 条件：要么是指定成员，要么属于组织内的目标团队
    if: github.actor in fromJSON('["alice", "bob"]') || contains(github.teams, 'org:your-org/dev-team')
    steps:
      - uses: actions/checkout@v4
      - name: Sync to AWS S3
        run: aws s3 sync ./build s3://your-bucket-name

这里github.actor是触发工作流的用户名，fromJSON里可列出所有允许的成员；contains(github.teams, ...)则允许整个团队的成员触发。

2. 开启外部协作审批机制 #

在仓库的「Settings → Actions → General」页面，找到「Require approval for all outside collaborators」选项并开启。之后外部用户触发的工作流必须经过组织成员审批才能执行，从源头阻止未授权的资源消耗。

3. 给部署环境加保护规则 #

如果你的AWS操作是针对特定环境（比如生产环境），可以给环境设置审批要求：

• 进入仓库「Settings → Environments」，新建或选择目标环境
• 开启「Required reviewers」，指定组织内的团队或成员作为审批人
• 工作流中部署到该环境时，必须经过审批才能执行AWS相关步骤，示例：

jobs:
  prod-deploy:
    runs-on: ubuntu-latest
    environment: production
    steps:
      - uses: actions/checkout@v4
      - name: Deploy to AWS EC2
        run: ssh ec2-user@your-instance "sudo docker pull your-image && sudo docker restart your-container"

GitLab CI 配置方式 #

1. 流水线添加用户/组限制 #

在.gitlab-ci.yml中通过only关键字指定允许触发的成员或组织组：

aws-job:
  script:
    - aws lambda update-function-code --function-name your-function --zip-file fileb://lambda.zip
  only:
    users:
      - alice
      - bob
    groups:
      - your-org-group

2. 开启流水线安全限制 #

在仓库「Settings → CI/CD → Pipeline security」中，开启「Only allow pipeline triggers from project members」，这样外部用户无法触发任何流水线。

额外注意事项 #

• AWS凭证务必通过CI工具的保密变量存储，绝对不能硬编码在工作流文件中
• 给CI使用的AWS IAM角色配置最小权限，即使出现意外触发，也能限制资源消耗的范围
• 定期查看CI运行日志，排查异常触发记录

内容的提问来源于stack exchange，提问作者catase