Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Tutorial on good practices for GitHub actions (Continuous integration)

Đang mở
  • Có gì không ổn?
#360 6 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
42/100
Loại issue
Tài liệu
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Đình trệ
Công nghệ
github-actions
Lĩnh vực
ci-cd, documentation, security

Hướng nghiên cứu

Bắt đầu bằng cách xem xét các hướng dẫn hiện có trong repository và hướng dẫn bảo mật hiện tại của GitHub Actions. Sử dụng bốn thực hành được liệt kê trong issue làm phạm vi ban đầu, kiểm chứng chúng dựa trên các nguồn có thẩm quyền và xem xét chuỗi bình luận để tìm các thực hành bổ sung; công việc được coi là hoàn thành khi có một hướng dẫn rõ ràng, chính xác bao quát phần hướng dẫn đã thống nhất.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

proposal tutorial

I recently was warned about a security issue with one of the actions I used (tj-actions/changed-files). The action got hacked and could potentially retrieve tokens from actions logs.

I learned a few lessons from this which are good to share in a tutorial:

  • avoid use of PAT (personal access tokens): GitHub now has short-lived permissions settings which can be used instead
  • always use minimal required permissions (i.e. do not give write access if not needed)
  • only use external actions from trusted sources (possibly a task for IT to set organisation level allowed/not-allowed actions)
  • pinning an action by its version tag is not guaranteed to be safe: a hacker could point it to a different commit; to be safe, pin an action by the full SHA of the commit you want to use

Please leave comments in this thread if you know of other good practices.

Ngôn ngữ chính
HTML
Star
24
Fork
10
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

  • Không có Dockerfile hay tệp Docker Compose
  • Có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của inbo/tutorials

Tất cả issue của inbo/tutorials

Issue tương tự

Thêm issue về DevOps

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.