Tracking issue: all GitHub action scripts that use package caches should support read-only mode for the caches.

Offen

#705 erstellt am 20.3.2026 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 5/5
Geschätzter Aufwand: Über eine Woche
Anfängerfreundlichkeit: 25/100

Issue-Typ: Feature
Klarheit: Muss geklärt werden
Aktivitätsstatus: Veraltet
Tech-Stack: github-actions, javascript, typescript
Bereich: ci-cd, devops, security

Rechercherichtung

This is a tracking issue rather than a scoped change, and it names no files or tests. Start by reviewing the setup scripts for actions such as setup-node and identify which package caches lack read-only support. Done means documenting the affected actions and adding or coordinating cache read-only options, with validation for the relevant workflows.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

TLDR: Some base actions setup scripts do not support modes where all package caching is read-only.

We should add flags for caches to be used in read only mode

Context - cache poisoning attacks

Repositories using GitHub Actions that use agentic processing (coding agents) have been subject to cache poisoning attacks, e.g. https://rohittamma.substack.com/p/how-an-ai-prompt-injection-silently.

Security architectures that host agentic processing (i.e. coding agents) naturally want to make use of setup-node, and other basic setup actions. This is an acceptable design decision for those architectures.

It is a natural response of these archtictures to want all "agentic jobs" to run entirely in read-only mode apart from uploaded artifacts. Because of this, it's reasonable for these actions to want to use "actions/setup-node" and others entirely in read-only mode. So, with package cache reads still active, but cache updates turned off.

Recommendation

This is a tracking issue for this problem.

On a quick review, some base actions scripts do not support options for read-only package caches.

We will do further review and edit this issue description with our findings.

Vorherrschende Sprache: TypeScript
Sterne: 5k
Forks: 586
PR-Merge-Kennzahlen: Keine gemergten PRs in 30 T.

Beitragsleitfaden

Für dieses Repository ist kein Beitragsleitfaden indexiert

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus actions/github-script

Following the README for type safety prevents/breaks npm's `min-release-age` option Offen

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 48/100

actions/github-script#728 · Erstellt am 17.8.2026
github.rest.actions.createWorkflowDispatch() calls deprecated API Offen

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 52/100

actions/github-script#727 · 1 Reaktion · Erstellt am 04.8.2026
{ Offen

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 10/100

actions/github-script#724 · Erstellt am 31.7.2026
Error when calling createComment with markdown in body Offen

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 55/100

actions/github-script#723 · 1 Kommentar · Erstellt am 16.7.2026
support `script-file` - path to a file. Offen

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 55/100

actions/github-script#714 · 1 Kommentar · 4 Reaktionen · Erstellt am 24.4.2026

Alle Issues in actions/github-script