如何通过REST API启用本地GitHub实例仓库的GitHub Actions

本地托管（on-prem）GitHub Enterprise Server实例下，某组织内部分仓库GitHub Actions处于禁用状态，界面显示如下：

排查过程中观测到几个和文档描述不符的现象：

• 调用仓库级权限查询GET接口 /api/v3/repos/myorg/the-repository/actions/permissions 时，返回结果显示enabled字段为true：

{
    "enabled": true,
    "allowed_actions": "selected",
    "selected_actions_url": "https://my.github.example.com/repositories/21251/actions/permissions/selected-actions"
}

• 尝试调用组织级「为指定仓库启用Actions」的PUT接口 /api/v3/orgs/myorg/actions/permissions/repositories/the-repository 时，返回409冲突错误：

{
    "message": "Conflict",
    "errors": "GitHub Actions is enabled for all repositories"
}

• 通过UI上的「Enable Actions on this repository」按钮可以正常开启功能，查看前端代码发现该按钮提交的是带CSRF令牌的Web表单，请求路径为/myorg/the-repository/actions/enable，并非调用公开REST API。

出现上述矛盾现象的核心原因有两点：

• 组织级启用接口有明确的适用前提：仅当组织级Actions配置为「仅允许选中仓库使用Actions」时，该接口才能正常调用。当前实例组织配置为「所有仓库允许使用Actions」，因此调用该接口会直接返回冲突。
• 仓库级权限查询接口存在返回值不全的问题：在GHES 3.4版本中，仓库被单独手动禁用的状态存储在独立的隐藏状态位中，GET接口不会读取该位，因此会出现实际禁用但返回enabled: true的结果。

无需模拟Web表单提交（该方案需要动态获取CSRF令牌，批量操作成本极高），直接调用仓库级Actions权限更新接口即可覆盖隐藏的禁用状态：

• 接口方法：PUT
• 接口路径：/api/v3/repos/{组织名}/{仓库名}/actions/permissions
• 核心要求：请求体必须显式传入"enabled": true，其余权限字段保持仓库原有配置，避免覆盖已有的Action允许范围规则
• 请求示例：

PUT https://my.github.example.com/api/v3/repos/myorg/the-repository/actions/permissions
Accept: application/vnd.github+json
Authorization: Bearer <具备repo、admin:org权限的个人访问令牌>

{
  "enabled": true,
  "allowed_actions": "selected"
}

说明：示例中allowed_actions字段取值和此前GET接口返回值保持一致即可，若原配置为all/local_only替换为对应值，不要随意修改。

如果需要批量修复组织下所有同状态的仓库，可按以下流程执行：

• 调用组织仓库列表接口拉取全量仓库清单
• 遍历所有仓库，统一调用上述PUT接口显式设置enabled: true，该操作对已正常启用Actions的仓库无副作用
• 调用完成后仓库Actions功能将直接生效，无需手动点击UI按钮。

内容的提问来源于stack exchange，提问作者Andrei Rînea