关于 GITHUB_TOKEN

在 GitHub Actions 中，自动化是核心。它能够自动构建、测试和部署代码，极大提升了开发效率。但自动化也意味着工作流需要对仓库资源进行操作，这就引出了一个关键问题：如何安全地进行认证和授权？答案就是 GITHUB_TOKEN。
在每个工作流作业（job）开始时，GitHub 都会自动为该作业创建一个独一无二的 GITHUB_TOKEN 秘密。这个令牌是专为当前工作流作业设计的，用于在作业中进行身份验证。
本质上，GITHUB_TOKEN 是一个 GitHub App 安装访问令牌。当你启用 GitHub Actions 时，GitHub 会在你的仓库上安装一个 GitHub App。这个 GITHUB_TOKEN 允许你的工作流代表这个 GitHub App 对你的仓库进行操作。需要特别强调的是，这个令牌的权限被严格限制在包含你的工作流的仓库范围内，确保了操作的隔离性和安全性。有关详细的权限信息，你可以查阅 GitHub Actions 的工作流语法文档。

GITHUB_TOKEN 的工作原理

GITHUB_TOKEN 的设计理念围绕着“按需创建”和“临时有效”展开，极大地增强了安全性。

自动创建与生命周期

在每个作业开始之前，GitHub 会为该作业获取一个安装访问令牌。这意味着 GITHUB_TOKEN 并非永久存在，它只在作业执行期间有效。一旦作业完成，或者在最长 24 小时之后（以先到者为准），这个 GITHUB_TOKEN 就会自动过期并失效。这种短生命周期的设计显著降低了令牌泄露可能带来的风险，即使令牌意外泄露，其可利用的时间窗口也极其有限。

上下文可用性

GITHUB_TOKEN 也通过 github.token 上下文变量在工作流中可用。这意味着你可以轻松地在你的脚本和操作中引用它，例如，在执行 actions/checkout 时指定令牌：
YAML
    - name: Checkout code
      uses: actions/checkout@v4
      with:
        token: ${{ github.token }}
或者在自定义脚本中用于认证 API 请求：
YAML
    - name: Make an API call
      run: |
        curl -X GET \
        -H "Authorization: token ${{ github.token }}" \
        -H "Accept: application/vnd.github.v3+json" \
        https://api.github.com/repos/${{ github.repository }}/issues

GITHUB_TOKEN 为何重要：安全自动化核心

GITHUB_TOKEN 不仅仅是一个认证凭证，它在防止意外行为和确保工作流安全方面扮演着至关重要的角色，是实现可靠、高效自动化的基石。

防止递归工作流运行

这是 GITHUB_TOKEN 最重要的安全特性之一。当你的工作流使用仓库的 GITHUB_TOKEN 执行任务时，由 GITHUB_TOKEN 触发的事件（workflow_dispatch 和 repository_dispatch 事件除外）将不会创建新的工作流运行。
这有效防止了“无限循环”或“递归触发”的风险。举个例子：如果你的工作流（例如，一个自动化格式化代码的工作流）使用 GITHUB_TOKEN 推送了代码更改回仓库，即使你的仓库配置了一个在 push 事件发生时运行的工作流，这个由 GITHUB_TOKEN 引起的 push 事件也不会再次触发该工作流。这项机制确保了自动化流程的稳定性和可控性，避免了不必要的资源消耗和潜在的死循环。

避免 GitHub Pages 构建触发

自动化工作流有时会进行一些维护性提交，例如更新依赖或生成文档。为了避免这些自动化提交意外触发不必要的 GitHub Pages 构建，GitHub 做出了特殊处理：由 GitHub Actions 工作流使用 GITHUB_TOKEN 推送的提交，不会触发 GitHub Pages 的构建。这对于那些希望精确控制 Pages 部署，仅在特定人工提交或发布流程时才构建和部署 Pages 的场景非常有用。

最小权限原则

GITHUB_TOKEN 的权限被限制在当前仓库，并且其生命周期短暂。这完全符合“最小权限原则”，即只授予完成任务所需的最低权限和最短有效期限。这种设计模式是任何安全系统的基石，它最大程度地减少了潜在的安全漏洞和攻击面，即使令牌被恶意获取，其造成的损害也将是最小化的。

总结

GITHUB_TOKEN 是 GitHub Actions 工作流中一个强大而不可或缺的安全组件。它通过自动生成、临时有效、权限受限的安装访问令牌，为你的自动化任务提供了安全的身份验证机制。更重要的是，它通过智能地防止递归工作流运行和避免不必要的 Pages 构建，确保了自动化流程的稳定性和可预测性。理解并正确利用 GITHUB_TOKEN，是构建高效、安全 GitHub Actions 工作流的关键。