Jenkins构建阶段如何获取GitHub仓库的完整访问权限？

克隆仓库时使用的凭证默认仅作用于Jenkins内置的SCM拉取步骤，构建脚本中的独立git命令不会自动继承该凭证，因此会出现推送权限不足的问题。

方案1：复用GitHub App凭证（推荐，无需额外配置密钥） #

• 首先确认绑定的GitHub App已授予仓库Contents读写权限：在GitHub对应App设置的Repository permissions中，将Contents权限调整为Read and write。
• 在Jenkins任务配置页，流水线任务可通过Pipeline Syntax生成凭证注入配置，自由风格任务进入构建环境配置栏，勾选Use GitHub App installation credential，关联已配置完成的GitHub App凭证。
• 执行git push操作前，先在构建脚本中注入临时授权令牌到git配置，示例命令如下：

# 变量名以Jenkins实际注入的GitHub App令牌变量名为准
GITHUB_TOKEN=${GITHUB_APP_INSTALLATION_TOKEN}
git config --global user.name "jenkins[bot]"
git config --global user.email "jenkins[bot]@users.noreply.github.com"
git remote set-url origin https://x-access-token:${GITHUB_TOKEN}@github.com/账户名/仓库名.git

• 后续执行git push命令即可完成推送。

方案2：通过SSH密钥完成授权 #

• 在Jenkins任务执行节点生成专用SSH密钥对，将公钥添加到目标GitHub仓库的Deploy keys配置中，必须勾选Allow write access选项，仓库级Deploy keys相比个人账号密钥权限更可控。
• 进入Jenkins全局配置页Manage Jenkins → Manage Credentials，添加类型为SSH Username with private key的凭证：用户名为git，私钥粘贴生成的私钥全文，保存后记录该凭证的ID。
• 自由风格任务在构建环境栏勾选Use secret text(s) or file(s)，添加SSH User Private Key项，选择刚才保存的凭证，设置密钥文件变量名如JENKINS_SSH_KEY。
• 构建脚本中提前配置SSH使用指定密钥，示例命令如下：

eval $(ssh-agent -s)
ssh-add ${JENKINS_SSH_KEY}
# 跳过首次连接GitHub的主机密钥验证提示
mkdir -p ~/.ssh
echo "github.com ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQCj7ndNxQowgcQnjshcLrqPEiiphnt+VTTvDP6mHBL9j1aNUkY4Ue1gvwnGLVlOhGeYrnZaMgRK6+PKCUXaDbC7qtbW8gIkhL7aGCsOr/C56SJMy/BCZfxd1nWzAOxSDPgVsmerOBYfNqltV9/hWCqBywINIR+5dIg6JTJ72pcEpEjcYgXkE2YEFXV1JHnsKgbLWNlhScqb2UmyRkQyytRLtL+38TGxkxCflmO+5Z8CSSNY7GidjMIZ7Q4zMjA2n1nGrlTDkzwDCsw+wqFPGQA179cnfGWOWRVruj16z6XyvxvjJwbz0wQZ75XK5tK8IlyLzUGsX2pm6CePeWnkscj1otzNixxok0M9Tew3DFhXJqViGLqqBY9iIpjY49tdgD4NixllGn0/2gDd5x6GcsJ/10pOS20iEOg5nW4c+JYjk+Cu3+L53gI=" >> ~/.ssh/known_hosts
git remote set-url origin git@github.com:账户名/仓库名.git

• 后续执行git push命令即可完成推送。

常见问题排查 #

• SSH方式推送失败时，可登录Jenkins任务执行节点，手动执行ssh -T git@github.com验证密钥权限，确认对应仓库的Deploy keys已开启写权限。
• 流水线任务可直接用withCredentials语法块包裹git操作步骤，可自动完成凭证注入，无需手动处理密钥文件。

内容的提问来源于stack exchange，提问作者TD2R