crickets-and-comb/shared

Pin third-party actions to commit SHAs

Open

#39 geöffnet am 22. März 2025

Auf GitHub ansehen
 (0 Kommentare) (0 Reaktionen) (0 zugewiesene Personen)Makefile (0 Forks)auto 404
bughelp wanted

Repository-Metriken

Stars
 (2 Stars)
PR-Merge-Metriken
 (PR-Metriken ausstehend)

Beschreibung

Sounds like best practice is not to simply pin to a version to get the latest patch updates, but to pin to a specific commit SHA.

For all calls to third-party actions, pin to a specific SHA, copied directly from the action source.

Kaleb: Set up a periodic review of SHAs or ensure that security alerts will issue for specific SHAs.

Contributor Guide

Research-Richtung
Finde alle Workflow Dateien im Repository, die Drittanbieter GitHub Aktionen verwenden. Ersetze für jede Aktion das Versions Tag (z.B. `v1`) durch den exakten Commit SHA aus dem Repository der Aktion. Stelle sicher, dass der SHA ohne semantische Versionsbereiche festgelegt ist. Optional kannst du einen regelmäßigen Überprüfungszeitplan einrichten, um die SHAs zu aktualisieren.
Tech Stack
github actions
Domain
ci cdsecurity
Issue Type
Sicherheit
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
2
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
Unter 1 Stunde
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Frisch
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
GitYAML
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
90