Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

chore: Harden all GitHub Workflows using Zizmor

Aperta
  • Qualcosa non va?
#395 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
55/100
Tipo di issue
Funzionalità
Chiarezza
Specificata chiaramente
Stato di attività
Tranquilla
Stack tecnologico
github-actions
Ambito
ci-cd, security

Direzione di ricerca

Inizia esaminando i file esistenti in .github/workflows/** e la documentazione di zizmor e zizmor-action. Aggiungi .github/workflows/zizmor.yml con il filtro di percorso pull_request specificato, la pianificazione settimanale, autorizzazioni secondo il principio del privilegio minimo, runner e timeout. Il lavoro è completato quando i findings bloccano i controlli delle pull request, vengono segnalati tramite annotations o log chiari e i findings rimanenti vengono risolti o tracciati in issue successive.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

chore

Tool

zizmor — https://github.com/zizmorcore/zizmor

GitHub Action

zizmor-action — https://github.com/zizmorcore/zizmor-action

Goal

Harden all GitHub workflows using automated analysis and recommendations.

Implementation idea

  • Add zizmor as a dedicated GitHub Actions workflow that analyzes all workflows in .github/workflows/**.
  • Run it:
    • on every pull request (only when files under .github/workflows/** changed), and
    • on a weekly schedule (scan the full .github/workflows/** set).
  • Triage findings and apply recommended changes to workflows to improve security/compliance.

Triggers (detailed)

  • pull_request:
    • paths: [".github/workflows/**"]
    • Runs for PRs targeting the default branch (and/or the repo’s main development branches as applicable).
  • schedule:
    • weekly cron (e.g., "0 0 * * 6" # Every Saturday 00:00 UTC)
    • Always scans all workflows under .github/workflows/** (not change-filtered).

Behavior on findings

  • If zizmor finds issues in a pull request run, the workflow check must fail (block merge) until findings are addressed.
  • Reporting should use GitHub annotations if possible; otherwise fall back to clear text output in logs/job summary.

Output / Reporting

  • Preferred: GitHub annotations surfaced directly in the PR checks UI.
  • Fallback: simple text output (logs and/or job summary) that clearly lists findings.

Implementation details / constraints

  • Workflow file: .github/workflows/zizmor.yml
  • Runner: ubuntu-latest
  • Permissions: least privilege (default to contents: read, add only what is required)
  • Add reasonable timeout-minutes to avoid hanging runs.

Acceptance Criteria

  • A zizmor workflow exists in .github/workflows/ and runs on:
    • pull_request events with paths: [".github/workflows/**"], and
    • a weekly schedule.
  • PR runs are blocking: the check fails if findings are detected.
  • Findings are surfaced via annotations where possible; otherwise via simple text output.

Exit Criteria

  • All zizmor findings are addressed by either:
    • fixing them in the same pull request that introduced them, or
    • creating individual follow-up ticket(s)/issue(s) to track and complete the remediation.
Lingua principale
Nessun dato sulla lingua
Stelle
145
Fork
39
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Issue simili

Altre issue su DevOps

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.