私有工作流提交输出到公共GitHub仓库时报403权限错误如何解决

错误原因 #

你遇到的403权限报错核心有两个问题：

1. GitHub Action默认自带的GITHUB_TOKEN仅对当前运行工作流的仓库有权限，没有跨仓库推送的权限
2. 你的工作流步骤顺序错误，actions/checkout应该放在git操作之前执行，且直接git init推送到已有仓库容易触发冲突和权限校验问题

修复步骤 #

• 第一步：生成有权限的个人访问令牌（PAT）
  登录你的GitHub账号，进入「设置」-「开发者设置」-「个人访问令牌」-「Tokens (classic)」，点击生成新令牌，勾选repo全范围权限，按需设置有效期，生成后复制令牌值（仅显示一次，务必保存好）
• 第二步：将令牌存入私有仓库的加密密钥
  打开运行工作流的私有仓库，进入「设置」-「Secrets and variables」-「Actions」，点击「New repository secret」，设置密钥名称为PUBLIC_REPO_PUSH_TOKEN，值粘贴刚才生成的PAT，保存
• 第三步：修正你的工作流代码
  调整步骤顺序，建议先拉取目标公共仓库再替换文件提交，避免直接init的冲突问题，参考代码如下：

# 先拉取目标公共仓库
- name: Checkout public repo
  uses: actions/checkout@v4
  with:
    repository: <github_username>/<github_reponame>
    token: ${{ secrets.PUBLIC_REPO_PUSH_TOKEN }}
    path: public_repo

# 把你私有工作流生成的输出文件复制到拉取的公共仓库目录下，这里按需调整路径
- name: Copy output files
  run: cp -r 你的输出文件路径/* public_repo/

# 提交推送
- name: Push changes
  run: |
    cd public_repo
    git config --local user.email "<email_id>"
    git config --local user.name "<username>"
    git add .
    git commit -m "Updated"
    git push

额外注意事项 #

• 如果目标公共仓库开启了分支保护规则，需要确保生成PAT的账号在目标仓库有对应分支的推送权限，或者将PAT对应的账号加入目标仓库的协作者列表
• 绝对不要把令牌明文写在工作流文件中，必须通过仓库Secrets加密调用

内容的提问来源于stack exchange，提问作者Spooky