CI 测试在 Dependabot 拉取请求上失败答案

【问题标题】：CI Tests fail on Dependabot pull requestsCI 测试在 Dependabot 拉取请求上失败
【发布时间】：2021-11-14 01:31:19
【问题描述】：

我有一个 GitHub 操作，可以针对在我的存储库中打开的每个拉取请求在 CI 中运行测试。

作为测试工作流程的一部分，作业检查了 GitHub 组织中的其他几个存储库（它们都是私有的，与我的存储库相同）。稍后，工作流使用为测试套件签出的内容。

这适用于我们组织的贡献者发出的拉取请求，但只要此工作流在 Dependabot 发布的 PR 上运行 - 它就会失败，因为 Dependabot PR 没有与其他拉取请求相同的秘密访问权限。

我的问题是如何为这个工作流提供检查组织中其他存储库的能力，而不会将所有机密数据暴露给dependabot？

谢谢！

【问题讨论】：

标签： github continuous-integration github-actions dependabot github-secret

【解决方案1】：

只要此工作流在 Dependabot 发布的 PR 上运行 - 它就会失败，因为 Dependabot PR 没有与其他拉取请求相同的秘密访问权限。

现在（2021 年 11 月/2021 年 12 月）应该不再是这种情况了：

GitHub Actions：由 Dependabot 触发的工作流接收 dependabot secrets。

现在将向 Dependabot 触发的 GitHub Actions 工作流发送 Dependabot 机密。

此更改将使您能够使用您为 Dependabot 配置的相同机密从 CI 中的私有包注册表中提取以供使用，并将改进 Actions 和 Dependabot 的协同工作方式。

详细了解using Actions and Dependabot together。

【讨论】：

【解决方案2】：

This issue 描述了一些解决您问题的选项

【讨论】：

您应该从链接中发布相关部分作为答案。不鼓励仅链接答案。

GitHub Actions：由 Dependabot 触发的工作流接收 dependabot secrets。