| GitHub | pull_request 事件对 fork 不发放 secrets（只读 GITHUB_TOKEN）；pull_request_target 需极端谨慎使用 |
|---|---|
| GitLab | 对 fork 项目注意受保护变量与合并请求来源 |
| 原则 | 不可信代码 + 无敏感凭据 + 只读全局资源 |
分场景示例
分场景示例
# fork PR：只跑不需要密钥的构建与测试
on: pull_request
permissions:
contents: read把敏感凭据暴露给 PR 触发的构建：等同于向外部公开；审查触发事件与变量范围。