如何将Github OAuth权限范围限制至组织仓库（Drone CI场景）

刚好碰到过类似的配置场景，给你整理一下具体的操作步骤，确保Drone的OAuth权限被严格限制在目标组织的仓库范围内：

1. 精准配置GitHub OAuth权限范围 (DRONE_GITHUB_SCOPE) #

默认情况下Drone请求的权限范围比较宽泛，你需要把它缩小到访问组织私有仓库的必要权限。针对你的私有组织仓库场景，推荐设置：

DRONE_GITHUB_SCOPE=repo,read:org

• repo：授予访问私有仓库的核心权限（因为你的组织全是私有仓库，这个权限是必须的）
• read:org：允许Drone读取组织的成员信息和仓库列表，确保能正确识别并同步目标组织内的仓库

2. 锁定Drone仅访问目标组织 (DRONE_GITHUB_ORG) #

除了权限范围，你还需要明确指定Drone只能对接目标组织，添加这个配置项：

DRONE_GITHUB_ORG=你的组织名称

这个配置会让Drone只同步该组织下的所有仓库，同时直接阻止用户访问个人账户或其他组织的仓库资源。

3. 生效前的必要操作 #

• 修改完配置后，必须重启Drone服务器才能让新配置生效
• 如果你之前已经给Drone授权过，建议在GitHub Enterprise的「设置」→「应用程序」→「授权的OAuth应用」中找到Drone，撤销现有授权后重新登录Drone，这样新的权限范围会被正确应用
• 确认你的GitHub OAuth应用确实归目标组织所有，这会让权限限制的逻辑更严谨

内容的提问来源于stack exchange，提问作者pklndnst