Set minimum permissions for workflows
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Facilidade para iniciantes
- 45/100
Direção de pesquisa
Comece revisando os workflows em .github/workflows, incluindo ci-java7.yaml por volta da linha 42, e compare as ações deles com a documentação de permissões do GitHub Actions vinculada na issue. Identifique as permissões mínimas necessárias para cada workflow e, em seguida, verifique se os workflows que usam actions/checkout mantêm o acesso de leitura necessário e se todos os arquivos de workflow seguem a restrição pretendida.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Thanks for stopping by to let us know something could be better!
PLEASE READ: If you have a support contract with Google, please create an issue in the support console instead of filing on GitHub. This will ensure a timely response.
Is your feature request related to a problem? Please describe.
GitHub workflows are granted high permissions by default. Permissions that allow, for example, to delete your source code and publish releases. The permissions can be exploited by malicious actions run in the workflow or malicious PRs if run on pull_request_target. This is specially important when using 3P actions such as:
https://github.com/googleapis/google-http-java-client/blob/1acedf75368f11ab03e5f84dd2c58a8a8a662d41/.github/workflows/ci-java7.yaml#L42.
Describe the solution you'd like
Set restricted permissions to run GitHub workflows or declare minimum permissions in the workflows.
e.g. permissions: contents: read for workflows that only need to do actions/checkout.
Describe alternatives you've considered
None.
Additional context
My name is Gabriela and I work on behalf of Google and the OpenSSF suggesting supply-chain security changes.
- Linguagem predominante
- Java
- Estrelas
- 1.4k
- Forks
- 474
- Métricas de merge de PRs
- Nenhum PR com merge em 30d
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Tem um modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de googleapis/google-http-java-client
-
GenericData.containsKey() returns true for unset (null) declared fields, violating Map contractAberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 84/100
googleapis/google-http-java-client#2187 · 1 comentário ·
-
Core: Validate header names and values to prevent CRLF injectionTalvez já em andamento @insaf021 assumiu há 67 dias. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
-
Core: XmlPullParser processes external DTD entities (XXE) — disable FEATURE_PROCESS_DOCDECL in Xml#createParser()Talvez já em andamento @insaf021 assumiu há 67 dias. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 84/100
-
Core: LowLevelHttpResponse not disconnected when HttpResponse construction throws RuntimeExceptionTalvez já em andamento @insaf021 assumiu há 68 dias. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 84/100
-
type: cleanup
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
Todas as issues de googleapis/google-http-java-client
Issues semelhantes
-
[destination-snowflake] Custom domains rejected unlike source connectionsTalvez já em andamento @kuza55 assumiu hoje. Abertaautoteam community connectors/destination/snowflake team/use
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
Mantenedores costumam responder em até 1 dia
-
area-dashboard
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
Mantenedores costumam responder em até 1 dia
-
component/operate kind/feature-request
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 85/100
Mantenedores costumam responder em até 1 dia
-
Forge coverage prompts carry text the agent cannot act onTalvez já em andamento @graalvmbot assumiu hoje. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 85/100
oracle/graalvm-reachability-metadata#10572 ·
Mantenedores costumam responder em até 1 dia
-
Bundled migration plansAberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 62/100
IBM/sample-app-mod#55 ·