| GitHub | permissions 字段声明 GITHUB_TOKEN 的范围，未声明默认按仓库设置 |
|---|---|
| GitLab | CI_JOB_TOKEN 提供有限的项目访问，配合受保护分支与权限模型 |
| Jenkins | 凭据仅在需要的步骤内绑定使用 |
GitHub 最小权限
GitHub 最小权限
permissions:
contents: read
packages: read
id-token: write # 仅在需要 OIDC 的作业上发布作业单独授权：审查每个作业真正需要写什么，逐项收窄。