GitHub Action下Docker构建时无需PAT从私有Git仓库pip安装依赖的方案

方案1：本地预拉取依赖（无额外令牌配置，最简便） #

这个方案完全不需要在Docker内部处理Git认证，从根源避免权限问题：

• 先在组织设置的「操作-通用」面板下，找到「工作流权限」，将组织内工作流的默认权限调整为「可读写」，或者至少开放「仓库内容读取」权限给同组织的其他仓库工作流。
• 在你的GitHub Action工作流文件中，先拉取所有需要的组织私有依赖仓库到构建上下文目录：

- name: Checkout current repo
  uses: actions/checkout@v4
- name: Checkout shared module repo
  uses: actions/checkout@v4
  with:
    repository: org/repo
    path: ./shared_modules/repo
    ref: master

• 把requirements.txt里对应的依赖行修改为本地相对路径：./shared_modules/repo
• Docker构建时直接将整个目录传入上下文，Dockerfile内复制目录后直接本地安装即可：

COPY ./shared_modules /tmp/shared_modules
COPY requirements.txt .
RUN pip3 install -r requirements.txt

这个方案不需要任何额外令牌配置，所有权限走GitHub内置的GITHUB_TOKEN，完全不绑定任何个人用户。

方案2：GitHub App生成短期令牌（适合依赖较多的场景） #

如果依赖的公共模块数量较多，预拉取太麻烦，可以用组织级GitHub App生成不绑定个人的短期令牌：

• 在组织下创建一个专属的公共模块访问GitHub App，仅分配「仓库内容读取」权限，将该App安装到所有需要访问的组织私有仓库上。
• 将App的ID、私钥存入组织级Secret，所有组织内仓库均可调用，无需每个仓库单独配置。
• 工作流中生成短期令牌，作为构建参数传入Docker：

- name: Generate app token
  id: app-token
  uses: tibdex/github-app-token@v2
  with:
    app_id: ${{ secrets.MODULE_ACCESS_APP_ID }}
    private_key: ${{ secrets.MODULE_ACCESS_APP_PRIVATE_KEY }}
- name: Build docker image
  run: docker build --build-arg GITHUB_TOKEN=${{ steps.app-token.outputs.token }} .

• Dockerfile中接收参数，安装完成后注意清理凭证避免残留：

ARG GITHUB_TOKEN
RUN git config --global url."https://${GITHUB_TOKEN}@github.com/".insteadOf "https://github.com/" \
    && pip3 install -r requirements.txt \
    && git config --global --unset url."https://${GITHUB_TOKEN}@github.com/".insteadOf

该方案的令牌有效期仅1小时，和App绑定，完全不关联任何个人账号，无需处理人员离职后的令牌维护问题。

你当前报错的原因 #

你直接将GitHub Action的变量${{ secrets.GITHUB_TOKEN }}写在Dockerfile或者requirements.txt中时，Docker构建过程不会自动解析Action的上下文变量，导致令牌没有被实际替换，才会出现读取密码失败的报错。

内容的提问来源于stack exchange，提问作者bulkon