Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

fix(pr-pipeline): scope read-runner caller secrets per caller in check-read-caller-keys

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#8,709 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
74/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github-actions, javascript
Lĩnh vực
ci-cd, security

Hướng nghiên cứu

Bắt đầu với scripts/check-read-caller-keys.mjs và kiểm tra cách script đọc các workflow của caller cũng như xác thực ALLOWED_SECRETS; dùng cách xử lý automations token hiện có làm tham chiếu. Thêm hoặc tìm các bài kiểm tra của script, bao quát secret riêng của từng caller, secret của lane khác và caller không có trong map. Hoàn thành khi cả ba trường hợp hoạt động như chỉ định và các bước kiểm tra đều đạt.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

priority: low

Problem

scripts/check-read-caller-keys.mjs holds the allowed secret names for read-runner callers in one global set, ALLOWED_SECRETS (line 30 after #8691). So any caller of pr-run-activity-read.yml may pass any allowed lane credential, for example issue_lane_claude_code_oauth_token from a caller that is not the issue lane, and the check stays green. The automations token already works this way.

Abusing this needs a workflow change that is already on main, so it is a hardening item, not a live gap.

Fix

Replace the global set with a per-caller map from caller workflow file to the secret names it may pass, for example work-resolve-issue.yml → the ISSUE_LANE_ names and pr-unblock.yml → the AUTOMATIONS_ names. A caller that passes a secret outside its own entry fails the check. Add tests:

  • each caller's own secret passes;
  • another lane's secret fails;
  • a caller missing from the map fails.

Refs: #8691

Ngôn ngữ chính
Shell
Star
22
Fork
2
Merge trung bình
7 giờ 57 phút
Pull request đã merge (30 ngày)
938

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của melodic-software/claude-code-plugins

Tất cả issue của melodic-software/claude-code-plugins

Issue tương tự

Thêm issue về Shell/Bash

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.