2

我有一个 GitHub 操作，可以针对在我的仓库中打开的每个拉取请求在 CI 中运行测试。

作为测试工作流程的一部分，该作业检查了 GitHub 组织中的其他几个存储库（它们都是私有的，与我的存储库相同）。稍后，工作流使用为测试套件签出的内容。

这在我们组织的贡献者发出的拉取请求上效果很好，但是只要这个工作流在 Dependabot 发布的 PR 上运行 - 它就会失败，因为 Dependabot PR 没有与其他拉取请求相同的秘密访问权限。

我的问题是，如何在不将所有机密数据暴露给dependabot 的情况下，为这个工作流提供检查组织中其他存储库的能力？

谢谢！

4

2 回答 2

1

每当此工作流在 Dependabot 发布的 PR 上运行时，它都会失败，因为 Dependabot PR 没有与其他拉取请求相同的秘密访问权限。

（2021 年 11 月/2021 年 12 月）不应再出现这种情况：

GitHub Actions：由 Dependabot 触发的工作流接收dependabot secrets。

由 Dependabot 触发的 GitHub Actions 工作流现在将被发送 Dependabot 机密。

此更改将使您能够使用您为 Dependabot 配置的相同机密从 CI 中的私有包注册表中提取以使用，并将改进 Actions 和 Dependabot 的协同工作方式。

了解有关同时使用 Actions 和 Dependabot的更多信息。

于 2021-11-30T21:28:59.483 回答
0

此问题描述了一些解决您的问题的选项

于 2021-10-22T14:25:53.640 回答