在回购系统中的分支上使用pull_request vs pull_request_target
在回购系统中的分支上使用pull_request vs pull_request_target
提问于 2021-03-31 17:53:55
我想在我们的回购中使用这个GitHub动作来检查PRs。我们在同一个回购中创建一个支路的拉请求，在该请求中进行反馈/合并，并合并到主服务器中。我使用pull_request事件触发器来触发操作。
我得到了一个错误：
错误:需要参数标记或opts.auth
当我在虚拟公关上测试这个动作时，像这样的评论让我觉得在行动中的这一行没有得到GITHUB_TOKEN。
在这 GitHub安全实验室的帖子中，我看到：
通过触发的pull_request_target工作流具有对目标存储库的写权限。他们还可以访问目标存储库的秘密。对于在pull_request上从同一个存储库中的分支触发的工作流也是如此，但从外部分叉触发的工作流却不是这样。后者的理由是，如果创建PR的用户已经对目标存储库拥有写权限，则共享存储库机密是安全的。
由此，我猜想pull_request应该能够访问该令牌。
我是不是在我们的设置中遗漏了什么？
回答 1
Stack Overflow用户
回答已采纳
发布于 2021-03-31 21:12:23
最后，我需要将操作GITHUB_TOKEN作为工作流中的环境变量。
...
jobs:
check-pr-title-or-commit-message:
runs-on: [self-hosted, dev]
steps:
- name: Check PR Title or Commit Message
uses: amannn/action-semantic-pull-request@v3.4.0
with:
validateSingleCommit: true
env:
GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
...页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://stackoverflow.com/questions/66892867
复制相关文章
相似问题
腾讯云开发者
