运行GitHub Actions时使用的GitHub token是否会泄露到公共仓库.git？

核心结论 #

你在私有仓库Actions中配置的GitHub Token，正常操作下不会泄露到公共仓库的.git目录中。

具体原因 #

• GitHub Token作为私有仓库的Secret存储，只会在工作流运行时加载为临时环境变量，本身不会自动写入任何代码文件、提交记录或者Git相关目录，只有你主动编写代码把Token输出、写入文件并提交推送时才可能带出。
• Git向远程仓库推送的内容，只包含你显式加入暂存区的文件以及对应的提交历史，.git目录中存储的也只有这些提交相关的对象数据，只要你没有主动把Token写入任何被提交的文件中，公共仓库的.git目录就不会出现该Token。

额外安全建议 #

• 不要在工作流步骤中用echo、日志输出等命令打印Token值，虽然GitHub默认会自动屏蔽日志中的Secret内容，但仍建议避免主动输出敏感信息。
• 给该Token配置最小可用权限，仅开放推送公共仓库需要的权限即可，不要勾选多余的权限项，尽可能降低潜在风险。
• 如果你用自定义脚本处理提交逻辑，不要把Token硬编码到脚本或者任何会被提交到仓库的配置文件中。

内容的提问来源于stack exchange，提问作者Spooky