Scope Pages permissions to the deploy job and pin actions to commit SHAs
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 84/100
Línea de trabajo
Empieza con .github/workflows/deploy.yml e inspecciona los permisos del workflow y cada línea uses:. Establece los permisos del workflow en contents: read, concede permisos de Pages y OIDC al trabajo de despliegue y fija las Actions referenciadas a SHA de commit completos con comentarios de versión. Ejecuta npm run typecheck y npm run build; el trabajo estará terminado cuando el workflow cumpla los criterios indicados de permisos y fijación, y un push a main siga desplegando.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Summary
Workflow hardening: the build job holds deploy permissions it does not need, and actions are referenced by mutable major tags.
Where
.github/workflows/deploy.yml:8-11(workflow-levelpages: write,id-token: write).github/workflows/deploy.yml:21,:22,:28,:29,:41(uses:lines)
Suggested fix
- Set top-level
permissions: contents: readand movepages: writeandid-token: writeunderjobs.deploy.permissions. - Pin each action to a full commit SHA with the version in a trailing comment.
Acceptance criteria
- Only the deploy job has
pages: writeandid-token: write - All
uses:lines reference a commit SHA - A push to main still deploys
Getting started
- Relevant files:
.github/workflows/deploy.yml - Run locally:
npm install, thennpm run dev - Checks:
npm run typecheckandnpm run build(there is no test suite yet) - Related docs:
README.md
Filed by repo-audit/full-audit at b001f5d. Severity: low. Effort: S. audit-key: security|.github/workflows/deploy.yml|permissions
- Lenguaje dominante
- TypeScript
- Estrellas
- 3
- Forks
- 3
- Métricas de merge de PR
- Sin PR fusionados en 30 d
Preparar el entorno
Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de TMHSDigital/GH-Arcade
-
enhancement good first issue severity: low
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
TMHSDigital/GH-Arcade#50 ·
-
enhancement good first issue severity: medium
Dificultad 2/5 1-3 horas Aptitud para principiantes 86/100
TMHSDigital/GH-Arcade#47 ·
-
documentation good first issue severity: low
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
TMHSDigital/GH-Arcade#34 ·
-
documentation good first issue severity: low
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
TMHSDigital/GH-Arcade#33 ·
-
dependencies good first issue severity: low
Dificultad 2/5 1-3 horas Aptitud para principiantes 85/100
TMHSDigital/GH-Arcade#27 ·
Todos los issues de TMHSDigital/GH-Arcade
Issues similares
-
automated-triage type/bug type/ci
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
📦 expo-router Android contributor: external needs review sdk-58 severity: medium
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
expo/expo#53436 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Translate the READMEAbiertodocumentation good first issue
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
asasemahmed/openboard#68 ·
Los mantenedores suelen responder en 1 día
-
bug good first issue
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
-
Document PowerShell shell semantics and read-only Bash deduplication in Built-in Tools referenceAbiertodocumentation
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100