Scope Pages permissions to the deploy job and pin actions to commit SHAs
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 2/5
- Tempo estimado
- 1-3 horas
- Facilidade para iniciantes
- 84/100
Direção de pesquisa
Comece por .github/workflows/deploy.yml e inspecione as permissões do workflow e cada linha uses:. Defina as permissões do workflow como contents: read, conceda permissões de Pages e OIDC ao job de deploy e fixe as Actions referenciadas em SHAs completos de commit, com comentários de versão. Execute npm run typecheck e npm run build; o trabalho estará concluído quando o workflow atender aos critérios indicados de permissões e fixação e um push para main continuar fazendo o deploy.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Summary
Workflow hardening: the build job holds deploy permissions it does not need, and actions are referenced by mutable major tags.
Where
.github/workflows/deploy.yml:8-11(workflow-levelpages: write,id-token: write).github/workflows/deploy.yml:21,:22,:28,:29,:41(uses:lines)
Suggested fix
- Set top-level
permissions: contents: readand movepages: writeandid-token: writeunderjobs.deploy.permissions. - Pin each action to a full commit SHA with the version in a trailing comment.
Acceptance criteria
- Only the deploy job has
pages: writeandid-token: write - All
uses:lines reference a commit SHA - A push to main still deploys
Getting started
- Relevant files:
.github/workflows/deploy.yml - Run locally:
npm install, thennpm run dev - Checks:
npm run typecheckandnpm run build(there is no test suite yet) - Related docs:
README.md
Filed by repo-audit/full-audit at b001f5d. Severity: low. Effort: S. audit-key: security|.github/workflows/deploy.yml|permissions
- Linguagem predominante
- TypeScript
- Estrelas
- 3
- Forks
- 3
- Métricas de merge de PRs
- Nenhum PR com merge em 30d
Preparar o ambiente
Este projeto não oferece contêiner de desenvolvimento, Dockerfile nem guia de contribuição, então a configuração fica por sua conta: comece pelo README e veja nosso guia da primeira contribuição para os passos gerais.
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de TMHSDigital/GH-Arcade
-
enhancement good first issue severity: low
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
TMHSDigital/GH-Arcade#50 ·
-
enhancement good first issue severity: medium
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 86/100
TMHSDigital/GH-Arcade#47 ·
-
documentation good first issue severity: low
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
TMHSDigital/GH-Arcade#34 ·
-
documentation good first issue severity: low
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
TMHSDigital/GH-Arcade#33 ·
-
dependencies good first issue severity: low
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 85/100
TMHSDigital/GH-Arcade#27 ·
Todas as issues de TMHSDigital/GH-Arcade
Issues semelhantes
-
automated-triage type/bug type/ci
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
Mantenedores costumam responder em até 1 dia
-
📦 expo-router Android contributor: external needs review sdk-58 severity: medium
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
expo/expo#53436 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
Translate the READMEAbertadocumentation good first issue
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 84/100
asasemahmed/openboard#68 ·
Mantenedores costumam responder em até 1 dia
-
bug good first issue
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
-
Document PowerShell shell semantics and read-only Bash deduplication in Built-in Tools referenceAbertadocumentation
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100