如何安全配置Github Actions实现PR检查并自动评论反馈结果

完全满足你提出的三项需求且不存在你提到的安全漏洞的可行方案为双工作流分离架构，具体实现逻辑如下：

核心实现逻辑 #

将「执行单元测试」和「回写测试结果到PR评论」两个动作拆分到两个完全独立的工作流中运行，完全规避给分叉PR工作流开放写权限的风险：

• 第一个工作流触发条件为pull_request，仅运行在分叉仓库的上下文环境中，默认分配只读权限的GITHUB_TOKEN，仅负责执行单元测试，测试完成后将结果打包上传为Action产物即可，不需要任何仓库写入权限，攻击者即使篡改该工作流的代码也只能在其自身分叉仓库的隔离环境中运行，无法影响原仓库、也无法获取原仓库的任何密钥。
• 第二个工作流触发条件为workflow_run，完全运行在原仓库的上下文环境中，且始终执行原仓库主分支中存储的工作流代码，完全不受PR提交的代码/工作流修改影响。你可以给该工作流分配最小范围的写入权限（仅开放pull-requests: write权限即可，关闭所有其他权限），当前置的单元测试工作流执行完成后，该工作流自动下载产物中的测试结果，调用GitHub接口将结果评论到对应PR页面即可。

额外安全加固建议 #

• 配置workflow_run触发规则时，明确校验前置工作流的名称、触发事件类型必须为pull_request，避免异常触发
• 严格限制第二个工作流的GITHUB_TOKEN权限，仅保留评论PR所需的最小权限，禁止开放内容写入、发布版本、密钥读取等无关权限
• 对安全要求较高的场景，可以对测试结果产物添加签名校验，避免结果被恶意篡改
  该方案完全不需要开启你提到的「为分叉仓库PR的工作流下发写入权限token」的高风险配置，从根源上避免了攻击者篡改工作流窃取权限、恶意操作原仓库的风险。

内容的提问来源于stack exchange，提问作者jschmitter