Как закрепить GitHub Actions на commit SHA
Почему это важно
Тег вроде @v4 может перенести тот, кто контролирует action, — так компрометация tj-actions/changed-files дошла до тысяч пайплайнов. Полный commit SHA перенести нельзя.
Как исправить
Reference actions by full commit SHA:
uses: actions/checkout@11bd71901bbe5b1630ceea73d27597364c9af683 # v4.2.2
Tools such as pin-github-action or Dependabot can do this and keep it updated.
Проходит ли эту проверку ваш репозиторий?
Бесплатно для публичных репозиториев GitHub, без регистрации. До 58 проверок DevOps и безопасности примерно за 5 секунд.
Похожие проверки
- Как найти и убрать секреты, закоммиченные в Git-репозиторий
- Почему .env должен быть в .gitignore (и как проверить, что он уже не закоммичен)
- Файл .env закоммичен в репозиторий: что делать
- Автообновление зависимостей: Dependabot или Renovate
- Минимальные права GITHUB_TOKEN в workflow
- Ловушка pull_request_target в GitHub Actions