Pin GitHub Actions to immutable commit SHAs for improved supply chain security

Đang mở
  • Có gì không ổn?
#2,401 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

  • #2469 của @singhanurag0317-bit — đã đóng, không merge

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
35/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Đình trệ
Công nghệ
github-actions, yaml
Lĩnh vực
ci-cd, security

Hướng nghiên cứu

Start by auditing the repository’s GitHub Actions workflow files for action references using mutable version tags. The issue does not name specific workflow files or tests; verify each replacement uses the corresponding full commit SHA and check that workflows still run. Done means all action references are pinned and future SHA updates are documented.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Is your feature request related to a problem?

The repository currently references GitHub Actions using version tags (such as @v4 or @v5). While these tags are convenient, they are mutable and can point to different commits over time. This introduces a software supply chain risk, as workflow behavior may change unexpectedly if an action tag is updated.

Proposed Solution

Update all GitHub Actions workflows to reference actions by their immutable commit SHAs instead of mutable version tags.

The implementation should:

  • Audit all existing GitHub Actions workflows.
  • Replace version tags (e.g., @v4, @v5) with the corresponding full commit SHAs.
  • Verify that all workflows continue to function correctly after the update.
  • Document the process for updating pinned SHAs in future maintenance.

This change will improve workflow reproducibility and reduce the risk of unexpected behavior caused by mutable action versions.

Alternatives Considered

An alternative is to continue using version tags while periodically reviewing and updating them. Although this approach is easier to maintain, it still relies on mutable references and does not provide the same level of supply chain security as pinning actions to immutable commit SHAs.

Additional Context

Pinning GitHub Actions to immutable commit SHAs is recommended by GitHub and is considered a software supply chain security best practice. It ensures workflows execute using reviewed, fixed versions of actions, improving reproducibility and reducing the attack surface associated with third-party GitHub Actions.

Ngôn ngữ chính
Python
Star
36
Fork
234
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của utksh1/SecuScan

Tất cả issue của utksh1/SecuScan

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.