GitHub・プルリク・フォーク・2026年10月27日に確認

GitHub：フォークからのプルリクのチェックが失敗する

フォークしたリポジトリからワークフローが起きたときは、GITHUB_TOKEN を除いてシークレットはランナーに渡されず、フォークからのプルリクでは GITHUB_TOKEN は読み取り専用です（GitHub のワークフローをトリガーするイベント・2026年10月27日に確認）。pull_request のイベントはプルリクのマージコミットにあるワークフローのファイルを動かし、フォークからのプルリクではそのコミットを決めるのはマージ先に書き込み権限の無い人です。そのため、シークレットを使う手順やリポジトリに書き込む手順はそこで失敗します（GitHub の pull_request_target を安全に使う）。

フォークからのプルリク     pull_request はマージコミットから動く
GITHUB_TOKEN              読み取り専用
ほかのシークレット         渡らない
非公開リポジトリ           Fork pull request workflows の設定
pull_request_target       既定のブランチのコード・シークレット・書き込みできるトークン

なぜ失敗するか

シークレットが空になる：渡るのは GITHUB_TOKEN だけなので、シークレットを読むレジストリへのログインやデプロイは何も受け取れません。
書き込みが断られる：GITHUB_TOKEN でコメント・ラベル付け・プッシュをする手順のトークンは読み取り専用です。pull_request_review と pull_request_review_comment も、Dependabot が開いたプルリクも同じ制限を受けます（Dependabot のプルリクのチェック）。
チェックはマージ先のリポジトリから来る：フォークからのプルリクのイベントは GitHub がマージ先のリポジトリに送り、フォークの側では起きません（GitHub のフォークしたリポジトリのプルリクのイベント）。フォークでは既定でワークフローは動かず、フォークの Actions タブで GitHub Actions を有効にする必要があります。
まだ何も動いていない：公開リポジトリへの初めての貢献者のプルリクでは、先に書き込み権限のあるメンテナーが実行を承認する必要があることがあります（ワークフローが作ったプルリク）。

非公開リポジトリ：Fork pull request workflows

非公開リポジトリへのフォークからのプルリクでは、ワークフローは有効にしたときだけ動きます。Settings → Actions → General の Fork pull request workflows にある設定は次の4つです（GitHub の非公開リポジトリのフォークのワークフローを有効にする）。

Run workflows from fork pull requests：読み取り専用の GITHUB_TOKEN で、シークレットには触れずに動かします。
Send write tokens to workflows from pull requests：フォークからのプルリクに書き込み権限のある GITHUB_TOKEN を渡します。
Send secrets to workflows from pull requests：すべてのシークレットをプルリクに渡します。
Require approval for fork pull request workflows：書き込み権限の無い共同作業者のプルリクの実行は、書き込み権限のある人の承認を待ちます。

この設定は組織にもリポジトリにもでき、組織で無効にした設定はリポジトリでは有効にできません。

どうするか

ビルドとテストは pull_request のままにする：追加のシークレットが要らないなら pull_request を使い、複雑なワークフローではプルリクのコードを扱う部分とシークレットを使う部分を分けるよう GitHub は書いています（GitHub の pull_request_target を使うかの判断）。
ラベル付けやコメントは pull_request_target で：マージ先のリポジトリの既定のブランチの文脈で動き、その GITHUB_TOKEN とシークレットを受け取るので、フォークからのプルリクにラベルを付けたりコメントしたりできます。プルリクのコードをビルドしたり動かしたりするなら使わないよう GitHub は書いています（GitHub の pull_request_target）。
フォークのコードをシークレットつきで動かさない：pull_request_target でプルリクの head をチェックアウトしてビルドやテストをすると、フォークのコードがシークレットつきで動きます。そこで actions/checkout がフォークのプルリクの head をチェックアウトするのは allow-unsafe-pr-checkout: true のときだけで、GitHub はチェックアウトしたコードが決して実行されないと確かめてから設定するよう書いています（GitHub の組み込みの保護を外す）。
公開リポジトリ：当てはまる Actions のイベントのポリシーが無いと、GitHub は pull_request_target で起きるワークフローを止める既定のポリシーを足します。今は評価のモードで実行は続き、影響を受けるリポジトリには2026年12月2日に適用すると GitHub は書いています。このイベントを使い続けるなら、それを許すイベントのポリシーを作ります（GitHub の pull_request_target の既定のポリシー）。
キャッシュの保存が警告になる：pull_request_target で起きたワークフローは既定のブランチのキャッシュを戻せますが保存はできず、保存はログの警告になってジョブは続きます。キャッシュは push のような信頼できるトリガーから保存します（GitHub の pull_request_target のワークフローを固める）。

IntelliJ IDEA で GitHub のプルリクを見るなら

Lesstep の Pull Request Inbox for GitHub は、JetBrains IDE（2024.1 以降）のプラグインです。プルリクのレビュー・チェック・会話を差分の隣に出し、対象のブランチが許す方法でマージします。GitHub が先頭のコミットに報告したチェックをそれぞれの実行へのリンクつきで並べるので、フォークからのプルリクで失敗したジョブは GitHub でログごと開けます。フォークからのプルリクは、GitHub がどのプルリクにも保っている head をプルリクの名前のブランチにフェッチしてチェックアウトし、マージの後にフォークのブランチを消す選択は出しません。ワークフロー・シークレット・リポジトリの設定は変えません。受信箱・差分・会話は無料、承認・コメント・解決・マージは Pro（月 US$1.50・30日間の無料試用つき）です。画面は日本語です。

GitHub は GitHub, Inc. の商標、IntelliJ IDEA は JetBrains s.r.o. の商標です。このページは GitHub, Inc.・JetBrains のいずれとも提携しておらず、承認も受けていません。