Tracking issue: all GitHub action scripts that use package caches should support read-only mode for the caches.
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 5/5
- Thời gian dự kiến
- Hơn một tuần
- Mức phù hợp với người mới
- 25/100
- Loại issue
- Tính năng
- Độ rõ ràng
- Cần làm rõ
- Mức độ hoạt động
- Đình trệ
- Công nghệ
- github-actions, javascript, typescript
Hướng nghiên cứu
This is a tracking issue rather than a scoped change, and it names no files or tests. Start by reviewing the setup scripts for actions such as setup-node and identify which package caches lack read-only support. Done means documenting the affected actions and adding or coordinating cache read-only options, with validation for the relevant workflows.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
TLDR: Some base actions setup scripts do not support modes where all package caching is read-only.
We should add flags for caches to be used in read only mode
Context - cache poisoning attacks
Repositories using GitHub Actions that use agentic processing (coding agents) have been subject to cache poisoning attacks, e.g. https://rohittamma.substack.com/p/how-an-ai-prompt-injection-silently.
Security architectures that host agentic processing (i.e. coding agents) naturally want to make use of setup-node, and other basic setup actions. This is an acceptable design decision for those architectures.
It is a natural response of these archtictures to want all "agentic jobs" to run entirely in read-only mode apart from uploaded artifacts. Because of this, it's reasonable for these actions to want to use "actions/setup-node" and others entirely in read-only mode. So, with package cache reads still active, but cache updates turned off.
Recommendation
This is a tracking issue for this problem.
On a quick review, some base actions scripts do not support options for read-only package caches.
We will do further review and edit this issue description with our findings.
- Ngôn ngữ chính
- TypeScript
- Star
- 5k
- Fork
- 586
- Chỉ số merge pull request
- Không có pull request nào được merge trong 30 ngày
Hướng dẫn đóng góp
Chưa lập chỉ mục được hướng dẫn đóng góp cho kho mã nguồn này
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của actions/github-script
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 48/100
actions/github-script#728 ·
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 52/100
actions/github-script#727 · 1 reaction ·
-
{ Đang mở
Độ khó 5/5 Hơn một tuần Mức phù hợp với người mới 10/100
actions/github-script#724 ·
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 55/100
actions/github-script#723 · 1 bình luận ·
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 55/100
actions/github-script#714 · 1 bình luận · 4 reaction ·
Tất cả issue của actions/github-script
Issue tương tự
-
blocklist removal
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 65/100
MetaMask/eth-phishing-detect#296544 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100
pastelsky/bundlephobia#1122 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100
-
category/development priority/P2 scope/file-operations scope/testing type/enhancement
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
-
Enatega Customer and Rider app: Add-ons price is not visible to customer after order is placed. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100