Restrict GitHub token permissions in examples
@FichteFoll がすでに取り組んでいます。
2025年4月10日 から。
評価
この issue はまだ評価されていません。
説明
Hi,
This is not a bug. I was reading about code reviews and ended up reading about zizmor.
I run zizmor against the CI copied from README. The minimal example and gave 2 warnings.
This may not be important, as I am a newbie, but I read about some repos using it in their CI. Ruff applied the persist-credentials.
warning[artipacked]: credential persistence through GitHub Actions artifacts
--> .github/workflows/ci.yml:30:9
|
30 | - uses: actions/checkout@v4
| ------------------------- does not set persist-credentials: false
|
= note: audit confidence → Low
warning[excessive-permissions]: overly broad permissions
--> .github/workflows/ci.yml:18:3
|
18 | / syntax_tests:
19 | | name: Syntax Tests (${{ matrix.build }})
... |
33 | | build: ${{ matrix.build }}
34 | | # default_packages: ${{ matrix.packages }}
| | -
| |_____________________________________________________|
| this job
| default permissions used due to no permissions: block
|
= note: audit confidence → Medium
And suggested a fix permissions and persist-credentials.
jobs:
syntax_tests:
name: Syntax Tests (${{ matrix.build }})
runs-on: ubuntu-latest
permissions:
id-token: write
timeout-minutes: 15
strategy:
matrix:
include:
- build: 'latest'
# packages: master
- build: stable
# packages: binary
steps:
- uses: actions/checkout@v4
with:
persist-credentials: false
- uses: SublimeText/syntax-test-action@v2
with:
build: ${{ matrix.build }}
# default_packages: ${{ matrix.packages }}
Maybe add to README example if useful.
- 主要言語
- Shell
- スター
- 13
- フォーク
- 5
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
似ている issue
-
bug github_actions security
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
DewaldOosthuizen/tech-cheat-sheets-and-notes#388 ·
メンテナーはふだん 1 日以内に返信
-
priority: low
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
melodic-software/claude-code-plugins#8831 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
-
alignment
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
btclib-org/portanode#710 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
メンテナーはふだん 1 日以内に返信