GitHub Actions：从不同仓库下载发布文件

Question

我有一个Repo A（在组织中是私有的），它有一个GitHub Actions工作流，用于构建和捆绑我的应用程序到tar.gz文件，并将其作为Release的artifact包含其中。

我有另一个Repo B（同样是私有的，同一组织），在GitHub Actions工作流中，需要从Repo A的特定发布版本中下载发布的artifact，并进行其他操作。

在组织内实现这种跨Repo发布的访问的现代最佳做法是什么？上次我这样做时，我们不得不使用一个机器用户的个人访问令牌，这是非常糟糕的（机器用户GitHub帐户、长期保密等）。自那时以来，GitHub通过内置的GITHUB_TOKEN秘密和Actions中的OIDC支持增加了很多功能。是否有更好的方法来实现我想做的事情？

- Jordan

Answer 1

如果您正在使用Linux Docker容器，可以尝试使用dsaltares/fetch-gh-release-asset，该工具的作用是:

从GitHub发布中下载资产，并提供一些发布详细信息。
支持私有仓库。

您可以在此处找到示例。
但是它确实使用了一个GitHub token，默认为${{ secrets.GITHUB_TOKEN }}：请确保它是一个GitHub应用程序安装访问令牌。

- VonC

---

为了跨存储库访问，我提供给此操作的令牌（将在 Repo B 上运行）必须是 Repo A 上应用程序安装的令牌，因为它正在尝试从 Repo A 下载发布文件，对吗？在这种情况下，您仍然需要将令牌作为 Repo B 上的秘密存储，并且长期存在的秘密是我试图避免的。 - Jordan

@Jordan 然后（未经测试），像 use-app-token 这样的操作可能会有所帮助。 - VonC