crickets-and-comb/shared

Pin third-party actions to commit SHAs

Open

#39 建立於 2025年3月22日

在 GitHub 查看
 (0 留言) (0 反應) (0 負責人)Makefile (0 fork)auto 404
bughelp wanted

倉庫指標

Star
 (2 star)
PR 合併指標
 (PR 指標待抓取)

描述

Sounds like best practice is not to simply pin to a version to get the latest patch updates, but to pin to a specific commit SHA.

For all calls to third-party actions, pin to a specific SHA, copied directly from the action source.

Kaleb: Set up a periodic review of SHAs or ensure that security alerts will issue for specific SHAs.

貢獻者指南

研究方向
在儲存庫中找到所有使用第三方GitHub Actions的工作流程檔案。對於每個操作，將版本標籤（例如`v1`）替換為操作儲存庫中的確切提交SHA。確保SHA被固定，不包含任何語意版本範圍。可選地，設定定期審查計劃以更新SHA。
技術棧
github actions
領域
ci cdsecurity
議題類型
安全
難度面向新貢獻者的預計實作難度，1 表示很小改動，5 表示專家級工作。
2
預計時間有經驗貢獻者完成調查、實作、測試並準備 pull request 的粗略時間範圍。
1 小時以內
活動狀態議題目前的可參與程度：新鮮、活躍、陳舊、阻塞或等待維護者輸入。
新近可參與
清晰度議題是否清楚說明預期改動、驗收標準和下一步。
清晰
前置要求
GitYAML
新手友善度1-100 的估計分數，表示該議題對首次貢獻者的友善程度。
90