crickets-and-comb/shared

Pin third-party actions to commit SHAs

Open

#39 ouverte le 22 mars 2025

Voir sur GitHub
 (0 commentaires) (0 réactions) (0 assignés)Makefile (0 forks)auto 404
bughelp wanted

Métriques du dépôt

Stars
 (2 stars)
Métriques de merge PR
 (Métriques PR en attente)

Description

Sounds like best practice is not to simply pin to a version to get the latest patch updates, but to pin to a specific commit SHA.

For all calls to third-party actions, pin to a specific SHA, copied directly from the action source.

Kaleb: Set up a periodic review of SHAs or ensure that security alerts will issue for specific SHAs.

Guide contributeur

Direction de recherche
Trouvez tous les fichiers de workflow dans le dépôt qui utilisent des actions GitHub tierces. Pour chaque action, remplacez le tag de version (par exemple `v1`) par le SHA exact du commit du dépôt de l'action. Assurez vous que le SHA est épinglé sans plage de version sémantique. Optionnellement, mettez en place un calendrier de révision périodique pour mettre à jour les SHA.
Stack technique
github actions
Domaine
ci cdsecurity
Type d'issue
Sécurité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Moins d'une heure
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Récente
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
GitYAML
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
90