GitHub Actions Runner镜像中Python库权限问题分析与解决方案

问题背景

在使用GitHub Actions的最新Runner镜像(包括Ubuntu 22.04和24.04)时，用户在执行Python相关操作时遇到了权限拒绝错误。具体表现为当尝试访问Python库目录时出现"Permission denied"错误，特别是针对/usr/local/lib/python3.10/dist-packages/ansible_collections路径。

问题现象

用户报告的主要错误信息如下：

ERROR! Unexpected Exception, this is probably a bug: [Errno 13] Permission denied: b'/usr/local/lib/python3.10/dist-packages/ansible_collections'

这个问题在以下环境中出现：

• Ubuntu 22.04和24.04镜像
• 标准Runner和大型Runner
• 最新版本的镜像(20250120.x.x系列)

问题分析

经过技术分析，这个问题源于Runner镜像中Python环境的权限配置变更。在之前的版本中，系统自带的Python环境可以直接使用，但最新镜像中似乎对Python库目录的权限设置更加严格，导致用户操作时出现权限问题。

值得注意的是，这个问题并非特定于Ansible，而是会影响所有尝试访问Python库目录的操作。Ansible只是其中一个明显的表现场景。

解决方案

目前确认的有效解决方案是显式设置Python环境：

1. 使用actions/setup-python指定Python版本

在workflow中添加以下步骤：

steps:
  - uses: actions/setup-python@v5
    with:
      python-version: '3.11'  # 也可以使用3.12或3.13

2. 版本选择建议

• Python 3.11、3.12和3.13版本经测试可以正常工作
• 避免使用系统自带的Python 3.10环境

技术原理

这个问题本质上是因为Runner镜像更新后，系统Python环境的权限模型发生了变化。通过使用setup-python动作，实际上是创建了一个独立的Python环境，避开了系统Python环境的权限限制。

setup-python动作会：

1. 下载指定版本的Python
2. 将其安装到用户空间
3. 设置正确的环境变量
4. 确保用户对相关目录有完全访问权限

最佳实践建议

1. 显式声明Python版本 在CI/CD流程中始终明确指定Python版本，避免依赖系统默认Python环境

2. 考虑使用虚拟环境 对于复杂的Python项目，建议在setup-python后创建虚拟环境：

   - run: python -m venv venv
   - run: source venv/bin/activate && pip install -r requirements.txt
   

3. 定期更新workflow 关注Runner镜像的更新公告，及时调整workflow配置

总结

GitHub Actions Runner镜像的更新带来了Python环境权限模型的变更，导致直接使用系统Python出现权限问题。通过明确指定Python版本可以可靠地解决这个问题。这也提醒我们在CI/CD流程中，对关键依赖项进行显式声明的重要性，可以避免因底层环境变更导致的意外问题。