crickets-and-comb/shared

Pin third-party actions to commit SHAs

Open

#39 aberto em 22 de mar. de 2025

Ver no GitHub
 (0 comments) (0 reactions) (0 assignees)Makefile (0 forks)auto 404
bughelp wanted

Métricas do repositório

Stars
 (2 stars)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

Sounds like best practice is not to simply pin to a version to get the latest patch updates, but to pin to a specific commit SHA.

For all calls to third-party actions, pin to a specific SHA, copied directly from the action source.

Kaleb: Set up a periodic review of SHAs or ensure that security alerts will issue for specific SHAs.

Guia do colaborador

Direção de pesquisa
Encontre todos os arquivos de workflow no repositório que usam ações de terceiros do GitHub. Para cada ação, substitua a tag de versão (ex.: `v1`) pelo SHA exato do commit do repositório da ação. Certifique se de que o SHA está fixado sem intervalo de versão semântica. Opcionalmente, configure uma revisão periódica para atualizar os SHAs.
Pilha de tecnologia
github actions
Domain
ci cdsecurity
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
Menos de 1 hora
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Recente
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitYAML
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
90