执行摘要

本次PR修复了fork PR中/rerun-test命令因GitHub Actions工作流始终检出main分支而导致的“文件未找到”错误。通过在工作流中添加权限检查步骤，允许具有写入及以上权限的可信用户通过refs/pull/N/head检出PR分支进行测试，而非协作者仍被安全拒绝。该变更提升了维护者在fork PR上的测试体验，同时保持了安全边界，属于CI/CD基础设施的常规维护性改进。

功能与动机

问题背景：当fork PR的测试文件仅存在于PR分支时，执行/rerun-test命令会失败，报错“File not found”。这是因为现有的GitHub Actions工作流（.github/workflows/slash-command-handler.yml）对于fork PR始终检出main分支，而非PR分支。

现有防护：Python处理器（handle_rerun_test）已通过要求评论者具有写入+仓库权限来限制fork PR的访问，但工作流层缺乏相应检查，导致即使权限足够的用户也无法成功运行测试。

解决目标：在工作流层添加权限检查，使可信用户（具有admin、maintain或write权限）能够在fork PR上执行/rerun-test时检出正确的分支。

实现拆解

本次变更仅修改一个文件：.github/workflows/slash-command-handler.yml。关键改动点如下：

1. 新增权限检查步骤：

   • 步骤ID：perm
   • 触发条件：仅当is_fork == 'true'时执行
   • 逻辑：使用gh api查询评论者权限，若为admin、maintain或write，则输出safe_to_checkout_pr=true；否则输出false
   • 错误处理：若API调用失败，默认权限为none并输出警告日志

2. 调整分支检出逻辑：

   • 原逻辑：非fork PR检出PR分支名，fork PR始终检出空（即main）
   • 新逻辑：
     yaml ref: ${{ steps.pr.outputs.is_fork == 'false' && steps.pr.outputs.ref || (steps.perm.outputs.safe_to_checkout_pr == 'true' && steps.pr.outputs.pr_ref || '') }}
   • 非fork PR：检出PR分支名（steps.pr.outputs.ref）
   • fork PR且评论者可信：通过refs/pull/N/head检出PR分支
   • fork PR且评论者不可信：检出空（即main）

3. 新增输出变量：在pr步骤中添加pr_ref=refs/pull/${{ github.event.issue.number }}/head，用于fork PR的分支引用。

评论区精华

由于本次PR没有review评论，无法从讨论中提炼技术交锋。但根据提交历史，作者在第二次提交（sha: 3bf0a128450bfd7913a578ea0786820ac06d77b6）中添加了权限检查失败时的警告日志（::warning::Failed to check commenter permission, defaulting to none），表明对边缘情况（如API故障）的处理关注。

风险与影响

技术风险：

1. 权限检查依赖外部API：使用gh api和GITHUB_TOKEN进行权限查询，若令牌泄露或GitHub API服务不稳定，可能影响检查结果。但Python处理器有后端验证作为兜底。
2. 分支检出逻辑复杂度增加：条件表达式嵌套可能引入理解负担，需确保团队熟悉该逻辑。
3. 兼容性风险：使用refs/pull/N/head而非分支名，需在各类GitHub环境中测试确认。

影响评估：

• 正面影响：具有写入权限的维护者现在可以在fork PR上成功运行/rerun-test，尤其适用于测试仅存在于PR分支的变更（如新增测试文件）。
• 安全边界保持：非协作者仍被拒绝，未扩大安全风险。
• 行为不变范围：非fork PR、其他slash命令（如/rerun-stage、/tag-run-ci-label）不受影响。

关联脉络

从近期历史PR看，本PR与以下CI/CD相关改进一脉相承：

• PR#21882（为CI维护模式添加合并禁令政策）：同属GitHub Actions工作流和团队流程规范。
• PR#21873（为评估数据集下载添加网络超时）：同属CI/CD稳定性优化。
• PR#21667（统一GSM8K评估路径到Chat API）：涉及CI测试路径统一，与本PR的测试流程改进相关。

演进趋势：sglang仓库近期持续优化CI/CD管道，重点关注测试稳定性、安全策略和开发体验。本PR是这一趋势下的具体实践，通过细化权限控制提升fork PR场景下的测试灵活性。