# 持续集成交付：安全配置 GITHUB_TOKEN 与替代方案
在 GitHub Actions 的持续集成工作流中，`GITHUB_TOKEN` 是默认用于身份验证的凭证。为了保障安全，最佳实践是通过工作流文件中的 `permissions` 键来严格限制其访问范围，仅授予必要的权限（例如仅允许 `issues: write`），遵循最小权限原则。
当工作流需要执行超出 `GITHUB_TOKEN` 默认权限的操作时，文档提供了两种明确的替代方案：
1. **使用 GitHub App**：创建一个 GitHub App，并在工作流中生成安装访问令牌。这种方式适合需要特定高级权限的场景，相关信息可参考官方关于“在工作流中使用 GitHub App 进行身份验证”的指南。
2. **使用个人访问令牌 (PAT)**：创建个人访问令牌，将其作为秘密（Secret）存储在仓库中，然后在工作流步骤中使用 `${{ secrets.SECRET_NAME }}` 语法引用该令牌。此方法适用于需要自定义权限且不想依赖 GitHub App 的场景。
通过合理配置 `permissions` 键并结合上述替代方案，开发者可以在自动化流程中实现既安全又灵活的身份验证管理。