从 GitHub Action 发布时，GITHUB_TOKEN 需要什么权限

Question

GITHUB_TOKEN我试图限制我的存储库可以访问的操作范围。其中一个操作会在我的存储库中创建一个草稿版本——我希望它只能创建该草稿，而不能创建其他任何东西。

看看这里的可用权限： https: //docs.github.com/en/actions/reference/workflow-syntax-for-github-actions#permissions没有专门用于发布的权限（甚至没有真正的标记） 。这是否被视为“部署”？我在这里缺少什么吗？

Answer 1

要允许您的 GitHub Action 创建草稿版本，您必须授予您GITHUB_TOKEN使用POST /repos/:owner/:repo/releases该contents: write权限的权限。

不幸的是，这个权限相当广泛，允许编写所有其他内容相关的内容，如提交、作业、分支等。没有细粒度的范围权限，只允许创建草稿版本。

来源：https ://docs.github.com/en/rest/reference/permissions-required-for-github-apps#permission-on-contents

repo请注意，个人访问令牌 (PAT) 在广泛的范围内也存在同样的问题：

授予对存储库（包括私有存储库）的完全访问权限。这包括对代码的读/写访问、提交状态、存储库和组织项目、邀请、协作者、添加团队成员资格、部署状态以及存储库和组织的存储库 Webhook。还授予管理用户项目的能力。

Answer 2

正如GitHub 文档中所解释的，它GITHUB_TOKEN不具有所有可用权限。

如果您想在工作流程中执行涉及其他权限的特定操作，则需要创建具有所需权限的PAT（个人访问令牌）并使用它而不是GITHUB_TOKEN.

GitHub 社区关于GITHUB_TOKEN范围的参考