26年寒假生活指导1.21

GitHub 权限体系与访问令牌管理

🎯 核心认知

GitHub 协作围绕“权限控制”和“安全认证”两大支柱展开：
• 权限体系 决定了“谁能做什么”

• 访问令牌 是自动化场景下的安全钥匙

第一部分：GitHub 协作权限体系

1. 基本协作模型

公开仓库协作流程：
访客 → Fork 仓库（无需同意） → 在自己的副本中修改 → 发起 Pull Request → 等待维护者审查合并

2. 三种角色的关键区别

权限点 普通访客 协作者 所有者

查看/克隆公开库 ✅ 允许 ✅ 允许 ✅ 允许

Fork 仓库 ✅ 允许 ✅ 允许 ✅ 允许

直接推送到原仓库 ❌ 不允许 ✅ 可推送到非保护分支 ✅ 完全权限

向受保护分支推送 ❌ 不允许 ❌ 必须通过 PR + 审查 ✅ 可设置例外

添加协作者 ❌ 不允许 ❌ 不允许 ✅ 所有者权限

3. 关键规则记忆点

• ✅ Fork 永远自由：任何人都可 Fork 公开仓库到自己的账户

• ⚠️ 直接推送需要写入权限：只有协作者和所有者能直接推送

• 🔒 主分支通常受保护：即使是协作者，修改 main/master 分支也需通过 PR 审查

• 🤝 PR 是协作的桥梁：将你的修改提交给原项目的标准方式

4. 协作者的特殊性

• 成为协作者 = 获得初始同意：这是所有者对你的信任授权

• 但同意是持续的：你需要遵守项目规范，重大更改仍需沟通

• 受保护分支规则至上：项目规则高于个人权限

第二部分：GitHub 访问令牌完全指南

1. 令牌类型选择

令牌类型 标识前缀 推荐度 特点

经典令牌 ghp_ ⭐⭐ 权限较粗，逐步淘汰

细粒度令牌 github_pat_ ⭐⭐⭐⭐⭐ 精细权限控制，可指定仓库

2. 获取细粒度令牌（7步流程）

3. 登录 GitHub → 头像 → Settings

4. 左侧栏 → Developer settings

5. 左侧栏 → Fine-grained tokens

6. 点击 Generate new token → 再次确认

7. 配置令牌：
   • 命名有描述性（设备-用途-日期）

   • 设置合理有效期（推荐30-90天）

   • 选择资源所有者

   • 指定仓库范围（选“仅选定仓库”更安全）

   • 按需勾选权限（遵守最小权限原则）

8. 点击 Generate token

9. ⚠️ 立即保存令牌（只显示一次！）

10. 常用权限配置参考

使用场景 必需权限 可选权限

推送代码 Contents: Read and write -

克隆私有仓库 Contents: Read-only -

运行 GitHub Actions Workflows: Read and write Contents: Read-only

管理 Issues Issues: Read and write Metadata: Read-only

4. 令牌使用方式

方式1：交互式输入

git push origin main

用户名：GitHub用户名

密码：访问令牌

方式2：包含在URL中（谨慎使用）

git clone https://@github.com/user/repo.git

方式3：环境变量

export GITHUB_TOKEN="your_token_here"

5. 安全实践清单

✅ 必须做：

• 使用细粒度令牌

• 遵守最小权限原则

• 设置合理有效期

• 使用密码管理器保存

• 定期轮换令牌

❌ 禁止做：

• 将令牌提交到代码仓库

• 在公开场合分享令牌

• 在不信任的设备使用

• 使用过于宽泛的权限

• 忽视令牌到期时间

6. 紧急响应流程

发现令牌泄露 → 立即登录GitHub → Developer settings → 找到对应令牌 → 点击Revoke → 重新生成新令牌

💎 核心要点总结

关于权限：

1. Fork-PR是开源协作的黄金标准
2. 协作者身份是信任授权，非无限权力
3. 受保护分支是项目的安全底线

关于令牌：

1. 细粒度令牌 > 经典令牌
2. 最小权限原则是安全核心
3. 令牌如密码，必须安全存储
4. 定期轮换是良好的安全习惯

实践口诀：

• 公开协作用 PR，私有协作需邀请

• 令牌权限要给少，指定仓库更牢靠

• 主分支改动要谨慎，代码审查不可少

• 安全存储定期换，GitHub 协作无烦恼