Scope Pages permissions to the deploy job and pin actions to commit SHAs
還沒有人認領這個 Issue。
評估
- 難度
- 2/5
- 預估耗時
- 1-3 小時
- 新手友好度
- 84/100
研究方向
從.github/workflows/deploy.yml開始，檢查workflow權限和每一行uses:。將workflow權限設為contents: read，為部署工作授予Pages和OIDC權限，並將引用的Actions固定到完整的提交SHA，同時加上版本註解。執行npm run typecheck和npm run build；當workflow符合所述權限和固定條件，且推送到main仍能部署時，即完成。
由索引模型根據 Issue 內容生成。
描述
Summary
Workflow hardening: the build job holds deploy permissions it does not need, and actions are referenced by mutable major tags.
Where
.github/workflows/deploy.yml:8-11(workflow-levelpages: write,id-token: write).github/workflows/deploy.yml:21,:22,:28,:29,:41(uses:lines)
Suggested fix
- Set top-level
permissions: contents: readand movepages: writeandid-token: writeunderjobs.deploy.permissions. - Pin each action to a full commit SHA with the version in a trailing comment.
Acceptance criteria
- Only the deploy job has
pages: writeandid-token: write - All
uses:lines reference a commit SHA - A push to main still deploys
Getting started
- Relevant files:
.github/workflows/deploy.yml - Run locally:
npm install, thennpm run dev - Checks:
npm run typecheckandnpm run build(there is no test suite yet) - Related docs:
README.md
Filed by repo-audit/full-audit at b001f5d. Severity: low. Effort: S. audit-key: security|.github/workflows/deploy.yml|permissions
- 主要語言
- TypeScript
- 星號
- 3
- 分支
- 3
- PR 合併指標
- 30 天內沒有已合併 PR
環境準備
這個專案沒有提供開發容器、Dockerfile 或貢獻指南，環境需要你自己搭建：先看它的 README，通用步驟見我們的新手貢獻指南。
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
TMHSDigital/GH-Arcade 的其他 Issue
-
enhancement good first issue severity: low
難度 2/5 1-3 小時 新手友好度 82/100
TMHSDigital/GH-Arcade#50 ·
-
enhancement good first issue severity: medium
難度 2/5 1-3 小時 新手友好度 86/100
TMHSDigital/GH-Arcade#47 ·
-
documentation good first issue severity: low
難度 2/5 1-3 小時 新手友好度 78/100
TMHSDigital/GH-Arcade#34 ·
-
documentation good first issue severity: low
難度 2/5 1-3 小時 新手友好度 78/100
TMHSDigital/GH-Arcade#33 ·
-
dependencies good first issue severity: low
難度 2/5 1-3 小時 新手友好度 85/100
TMHSDigital/GH-Arcade#27 ·
查看 TMHSDigital/GH-Arcade 的全部 Issue
相似的 Issue
-
automated-triage type/bug type/ci
難度 2/5 1-3 小時 新手友好度 78/100
維護者通常 1 天內回覆
-
📦 expo-router Android contributor: external needs review sdk-58 severity: medium
難度 2/5 1-3 小時 新手友好度 78/100
維護者通常 1 天內回覆
-
documentation good first issue
難度 2/5 1-3 小時 新手友好度 84/100
asasemahmed/openboard#68 ·
維護者通常 1 天內回覆
-
bug good first issue
難度 2/5 1-3 小時 新手友好度 72/100
-
Document PowerShell shell semantics and read-only Bash deduplication in Built-in Tools reference未關閉documentation
難度 2/5 1-3 小時 新手友好度 78/100