fix(pr-pipeline): scope read-runner caller secrets per caller in check-read-caller-keys
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 74/100
- Issue 类型
- 缺陷
- 描述清晰度
- 描述清楚
- 活跃度
- 活跃
- 技术栈
- github-actions, javascript
调研方向
从 scripts/check-read-caller-keys.mjs 开始，检查它如何读取调用方 workflow 并验证 ALLOWED_SECRETS；以现有的 automations token 处理方式为参考。添加或找到该脚本的测试，并覆盖每个调用方自己的 secret、另一个 lane 的 secret，以及映射中缺失的调用方。完成标准是这三种情况都按指定方式运行，且检查通过。
由索引模型根据 Issue 内容生成。
描述
Problem
scripts/check-read-caller-keys.mjs holds the allowed secret names for read-runner callers in one global set, ALLOWED_SECRETS (line 30 after #8691). So any caller of pr-run-activity-read.yml may pass any allowed lane credential, for example issue_lane_claude_code_oauth_token from a caller that is not the issue lane, and the check stays green. The automations token already works this way.
Abusing this needs a workflow change that is already on main, so it is a hardening item, not a live gap.
Fix
Replace the global set with a per-caller map from caller workflow file to the secret names it may pass, for example work-resolve-issue.yml → the ISSUE_LANE_ names and pr-unblock.yml → the AUTOMATIONS_ names. A caller that passes a secret outside its own entry fails the check. Add tests:
- each caller's own secret passes;
- another lane's secret fails;
- a caller missing from the map fails.
Refs: #8691
- 主要语言
- Shell
- 星标
- 22
- 派生
- 2
- 平均合并
- 7 小时 57 分钟
- 30 天内合并 PR
- 938
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
melodic-software/claude-code-plugins 的其他 Issue
-
priority: low
难度 2/5 1-3 小时 新手友好度 76/100
melodic-software/claude-code-plugins#8831 · 1 条评论 ·
维护者通常 1 天内回复
-
priority: medium status: confirmed
难度 2/5 1-3 小时 新手友好度 72/100
melodic-software/claude-code-plugins#8801 ·
维护者通常 1 天内回复
-
priority: low status: confirmed
难度 2/5 1-3 小时 新手友好度 72/100
melodic-software/claude-code-plugins#8799 ·
维护者通常 1 天内回复
-
fix(links): make the online link check green (23 errors since 2026-10-11)可能已有人在做 关联的 PR 仍在进行中或已合并。 未关闭priority: medium
难度 2/5 1-3 小时 新手友好度 72/100
melodic-software/claude-code-plugins#8730 · 1 条评论 ·
维护者通常 1 天内回复
-
priority: medium
难度 2/5 1-3 小时 新手友好度 82/100
melodic-software/claude-code-plugins#8708 · 1 条评论 ·
维护者通常 1 天内回复
查看 melodic-software/claude-code-plugins 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 76/100
kunchenguid/firstmate#7604 ·
维护者通常 1 天内回复
-
product-to-storybook is skipped silently by npx skills add because its frontmatter is invalid YAML未关闭
难度 1/5 1 小时以内 新手友好度 83/100
-
难度 2/5 1-3 小时 新手友好度 83/100
维护者通常 1 天内回复
-
bug github_actions security
难度 2/5 1-3 小时 新手友好度 76/100
DewaldOosthuizen/tech-cheat-sheets-and-notes#388 ·
维护者通常 1 天内回复
-
automated issue report
难度 1/5 1 小时以内 新手友好度 72/100
a2aproject/A2A#2376 ·
维护者通常 3 天内回复