如何在GitHub Action的docker容器内完成git仓库checkout操作

该写入权限错误的核心诱因是权限UID不匹配：GitHub Action运行时默认会将工作目录/github/workspace的所有者分配为runner宿主的默认UID（GitHub托管runner的默认UID为1001），如果你ECR镜像的默认运行用户UID和该值不一致，actions/checkout动作向工作目录写入代码时就会触发权限不足报错。

方案1：容器启动时指定匹配的运行用户 #

直接在Action的container配置中添加启动参数指定UID为1001，适配托管runner的默认权限规则，配置示例如下：

jobs:
  your-job-name:
    runs-on: ubuntu-latest
    # 配置ECR镜像及启动参数
    container:
      image: <你的ECR镜像完整地址>
      options: --user 1001
    steps:
      # 后续checkout操作会自动继承用户权限，无写入问题
      - uses: actions/checkout@v4
      # 其他业务步骤

如果使用私有部署runner，可提前执行id -u查询runner运行用户的UID，替换上述参数中的1001即可。

方案2：临时放开工作目录权限（适合测试/私有仓库场景） #

如果你的镜像必须使用root用户运行，可在checkout前添加一步修改工作目录权限的操作：

steps:
  - name: 修复工作目录权限
    run: chmod 777 /github/workspace
  - uses: actions/checkout@v4

该方案配置简单但存在一定安全风险，不建议公共仓库使用。

方案3：镜像构建阶段提前适配权限 #

构建ECR镜像时直接创建和runner UID匹配的运行用户，从根源避免权限问题，Dockerfile示例配置如下：

# 其他镜像构建逻辑
# 创建UID为1001的运行用户
RUN useradd -m -u 1001 runner
# 切换为该用户运行
USER runner
# 可选：指定工作目录并提前赋权
WORKDIR /home/runner/workspace

该方案无需修改Action配置，稳定性最高。

如果你的工作流是手动执行docker run命令拉取ECR镜像运行，可在启动命令中添加-u $(id -u):$(id -g)参数，自动匹配当前runner用户的UID/GID。

内容的提问来源于stack exchange，提问作者Li X