最近GitHub Actionを触っていて、タイトル通りon: pull_requestとon: pull_requestの実行コンテキスト等の違いによって、大分ハマったので、それぞれの違いとかを調べてみたのでMEMOしておきます。

`on: pull_request`と`on: pull_request_target`の違い

基本的には実行コンテキストと与えられる権限が違うようです。

on: pull_request
- イベントはbaseのリポジトリに送信され、作成されたPR上でのworkflowの設定が利用される
  For pull requests from a forked repository to the base repository, GitHub sends the pull_request, issue_comment, pull_request_review_comment, pull_request_review, and pull_request_target events to the base repository. No pull request events occur on the forked repository. https://docs.github.com/en/actions/using-workflows/events-that-trigger-workflows#pull-request-events-for-forked-repositories
- forkされたリポジトリからのPRの場合、GITHUB_TOKENが読み取り専用の権限となりsecretにもアクセス出来ない。
  - With the exception of GITHUB_TOKEN, secrets are not passed to the runner when a workflow is triggered from a forked repository. The GITHUB_TOKEN has read-only permissions in forked repositories. https://docs.github.com/en/actions/using-workflows/events-that-trigger-workflows#workflows-in-forked-repositories
- dependabotが作成したPRで実行される場合、GITHUB_TOKENが読み取り専用の権限となりsecretにもアクセス出来ない。
  - https://github.blog/changelog/2021-02-19-github-actions-workflows-triggered-by-dependabot-prs-will-run-with-read-only-permissions/
  - Note: Workflows triggered by Dependabot pull requests are treated as though they are from a forked repository, and are also subject to these restrictions. https://docs.github.com/en/actions/using-workflows/events-that-trigger-workflows#pull-request-events-for-forked-repositories
on: pull_request_target
- イベントはbaseのリポジトリに送信され、作成されたPRのbaseでのworkflowの設定が利用される
  - Although the workflow runs in the context of the base of the pull request, https://docs.github.com/en/actions/using-workflows/events-that-trigger-workflows#pull_request_target
  - baseのworkflow設定が使われるため、PRを作成した時点ではworkflowが実行されずmergeされないと実行されないようになってるっぽい(PR出してsecretを盗まれるのを防ぐため)
- ターゲットリポジトリに読み込み/書き込み権限が付与され、secretにもアクセス可能
  - For workflows that are triggered by the pull_request_target event, the GITHUB_TOKEN is granted read/write repository permission unless the permissions key is specified and the workflow can access secrets, https://docs.github.com/en/actions/using-workflows/events-that-trigger-workflows#pull_request_target