GitHub Actions Has a Package Manager, and It Might Be the Worst
5 months ago
- #Package Management
- #GitHub Actions
- #Security
- GitHub Actions缺乏成熟包管理器中的关键安全功能，如锁定文件、完整性哈希和依赖树可视化。
- 研究表明存在高风险：99.7%的代码库使用外部开发的Actions，其中97%来自未经验证的创建者，18%存在安全更新缺失问题。
- 可变版本和不可见的传递依赖使工作流容易受到静默更改和攻击的影响。
- 缺乏完整性验证或可重复运行机制，可能导致非确定性行为。
- 未记录的解析语义和缺乏注册中心增加了安全风险。
- GitHub的设计缺陷已蔓延至Forgejo Actions等替代方案，尽管问题已知。
- 尽管社区有需求，但锁定文件、完整性哈希和更好的依赖可视化等解决方案仍未实现。