如何在 GitHub CI 工作流中使用 dependabot secrets

Question

我有一个NPM_AUTH_TOKEN秘密，它最初存储在我的操作秘密中，当它自动打开 PR 时，dependabot 似乎无法访问它。

我现在已经将这个秘密复制到 Dependabot Secrets 中。 我是否需要更改我的 CI 中的任何内容以便它可以访问它？

- name: Authenticate with Github Package Registry
  run:
    npm config set '//npm.pkg.github.com/:_authToken' "${NPM_AUTH_TOKEN}"
  env:
    NPM_AUTH_TOKEN: ${{ secrets.NPM_AUTH_TOKEN }}

上述操作由开发人员打开的 PR 和 dependabot 运行。 secrets.NPM_AUTH_TOKEN会是开发人员打开时来自 Actions Secrets 的值，然后是 Dependabot 打开时来自 Dependabot Secrets 的值吗？

Answer 1

github 秘密在操作、代码空间和 dependabot 之间单独管理。 您需要为 dependabot 设置相同的NPM_AUTH_TOKEN ，然后您可以将它用于常规操作运行和 dependabot PR。

您可以通过在 repo 中运行gh secret list --app dependabot来检查 dependabot 可以看到的秘密。