Docker Hub自动构建需授予GitHub宽泛权限？能否遵循最小权限原则？

好问题！这确实是很多开发者在配置Docker Hub自动化构建时会遇到的权限过度授权困扰，完全可以通过两种方法遵循最小权限原则，只授予特定仓库的必要权限：

方法一：调整已授权OAuth应用的仓库访问范围 #

Docker Hub默认的OAuth授权确实会请求宽泛的权限，但GitHub允许你事后修改应用的仓库访问范围，步骤如下：

• 登录你的GitHub账号，进入「Settings」→「Applications」→「Authorized OAuth Apps」
• 找到列表中的「Docker Hub Builder」，点击「Configure」按钮
• 在「Repository access」区域，选择「Only select repositories」，然后勾选你需要Docker Hub进行自动化构建的特定仓库
• 确认权限详情：虽然Docker Hub初始请求了读写权限，但实际自动构建大多只需要读取代码的权限；如果需要触发构建的webhook，可能仅需添加webhook相关的写权限，无需开放所有仓库的读写权限

方法二：使用GitHub个人访问令牌（PAT）替代OAuth授权 #

如果想更精准地控制权限粒度，可以生成一个仅具备必要权限的GitHub PAT来关联Docker Hub：

• 登录GitHub，进入「Settings」→「Developer settings」→「Personal access tokens」→「Tokens (classic)」
• 点击「Generate new token」，填写令牌名称，设置有效期
• 在权限勾选时，仅选择必要权限：
  • 若构建私有仓库：勾选repo:read（只读访问仓库内容）
  • 若需要自动触发构建（代码推送时触发）：额外勾选webhook:write（允许创建webhook）
• 生成令牌后，在Docker Hub的自动化构建设置中，选择使用该PAT进行身份验证，而非默认的OAuth关联
• 你还可以在GitHub的仓库设置中，将该PAT的访问权限限制为特定仓库（在仓库的「Settings」→「Manage access」中添加令牌对应的权限）

额外提示 #

如果你的代码仓库属于GitHub组织，调整权限的路径为：组织「Settings」→「Third-party access」，找到「Docker Hub Builder」后修改仓库访问范围即可。

内容的提问来源于stack exchange，提问作者larryc