crickets-and-comb/shared

Pin third-party actions to commit SHAs

Open

#39 aperta il 22 mar 2025

Vedi su GitHub
 (0 commenti) (0 reazioni) (0 assegnatari)Makefile (0 fork)auto 404
bughelp wanted

Metriche repository

Star
 (2 star)
Metriche merge PR
 (Metriche PR in attesa)

Descrizione

Sounds like best practice is not to simply pin to a version to get the latest patch updates, but to pin to a specific commit SHA.

For all calls to third-party actions, pin to a specific SHA, copied directly from the action source.

Kaleb: Set up a periodic review of SHAs or ensure that security alerts will issue for specific SHAs.

Guida contributor

Direzione di ricerca
Trova tutti i file di workflow nel repository che utilizzano azioni GitHub di terze parti. Per ogni azione, sostituisci il tag di versione (es. `v1`) con l'esatto SHA del commit dal repository dell'azione. Assicurati che lo SHA sia fissato senza intervalli di versioni semantiche. Opzionalmente, imposta una revisione periodica per aggiornare gli SHA.
Tech stack
github actions
Dominio
ci cdsecurity
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Meno di 1 ora
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Nuova
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
GitYAML
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
90