github - CI 测试在 Dependabot 拉取请求上失败

Question

我有一个 GitHub 操作，它在 CI 中针对在我的存储库中打开的每个拉取请求运行测试。

作为测试工作流程的一部分，该工作检查了 GitHub 组织中的其他几个存储库(所有这些都是私有(private)的，与我的存储库相同)。稍后，工作流使用为测试套件 check out 的内容。

这适用于我们组织的贡献者发出的拉取请求，但每当此工作流在 Dependabot 发出的 PR 上运行时 - 它会失败，因为 Dependabot PR 没有与其他拉取请求相同的 secret 访问权限。

我的问题是，我如何才能为这个工作流提供检查组织中其他存储库的能力，而不会将所有 secret 数据暴露给 dependabot？

谢谢!

Answer 1

whenever this workflow runs on a PR that was issued by Dependabot - it fails as Dependabot PRs don't have the same secret access as other pull requests do.

情况不应再如此(2021 年 11 月/12 月):

GitHub Actions: Workflows triggered by Dependabot receive dependabot secrets.

GitHub Actions workflows triggered by Dependabot will now be sent the Dependabot secrets.

This change will enable you to pull from private package registries in your CI using the same secrets you have configured for Dependabot to use and will improve how Actions and Dependabot work together.

Learn more about using Actions and Dependabot together.