Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

chore: Harden all GitHub Workflows using Zizmor

Abierto
  • ¿Algo no está bien?
#395 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
55/100
Tipo de issue
Nueva funcionalidad
Claridad
Bien especificado
Estado de actividad
Tranquilo
Stack tecnológico
github-actions
Área
ci-cd, security

Línea de trabajo

Comienza revisando los archivos existentes en .github/workflows/** y la documentación de zizmor y zizmor-action. Añade .github/workflows/zizmor.yml con el filtro de rutas de pull_request especificado, la programación semanal, permisos de mínimo privilegio, runner y timeout. Se considera terminado cuando los findings bloquean las comprobaciones de pull request, se informan mediante annotations o logs claros, y los findings restantes se corrigen o se registran en issues de seguimiento.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

chore

Tool

zizmor — https://github.com/zizmorcore/zizmor

GitHub Action

zizmor-action — https://github.com/zizmorcore/zizmor-action

Goal

Harden all GitHub workflows using automated analysis and recommendations.

Implementation idea

  • Add zizmor as a dedicated GitHub Actions workflow that analyzes all workflows in .github/workflows/**.
  • Run it:
    • on every pull request (only when files under .github/workflows/** changed), and
    • on a weekly schedule (scan the full .github/workflows/** set).
  • Triage findings and apply recommended changes to workflows to improve security/compliance.

Triggers (detailed)

  • pull_request:
    • paths: [".github/workflows/**"]
    • Runs for PRs targeting the default branch (and/or the repo’s main development branches as applicable).
  • schedule:
    • weekly cron (e.g., "0 0 * * 6" # Every Saturday 00:00 UTC)
    • Always scans all workflows under .github/workflows/** (not change-filtered).

Behavior on findings

  • If zizmor finds issues in a pull request run, the workflow check must fail (block merge) until findings are addressed.
  • Reporting should use GitHub annotations if possible; otherwise fall back to clear text output in logs/job summary.

Output / Reporting

  • Preferred: GitHub annotations surfaced directly in the PR checks UI.
  • Fallback: simple text output (logs and/or job summary) that clearly lists findings.

Implementation details / constraints

  • Workflow file: .github/workflows/zizmor.yml
  • Runner: ubuntu-latest
  • Permissions: least privilege (default to contents: read, add only what is required)
  • Add reasonable timeout-minutes to avoid hanging runs.

Acceptance Criteria

  • A zizmor workflow exists in .github/workflows/ and runs on:
    • pull_request events with paths: [".github/workflows/**"], and
    • a weekly schedule.
  • PR runs are blocking: the check fails if findings are detected.
  • Findings are surfaced via annotations where possible; otherwise via simple text output.

Exit Criteria

  • All zizmor findings are addressed by either:
    • fixing them in the same pull request that introduced them, or
    • creating individual follow-up ticket(s)/issue(s) to track and complete the remediation.
Lenguaje dominante
Sin datos de lenguaje
Estrellas
145
Forks
40
Sin PR fusionados en 30 d

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Issues similares

Más issues de DevOps

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.