GitHub Actions 依赖安全加固清单
推荐指数 46.0 NO. 024 · 2026.05.04
发布2026/05/04
为什么值得看
CNCF 发布了一份可操作的 recipe card，指导开发者系统性地加固 GitHub Actions CI 中的第三方依赖风险。对运行大量开源 Action 的团队来说，这是减少供应链攻击面的实用参考。
编辑判断
GitHub Actions 的供应链攻击长期被低估，典型场景是恶意 Action 通过 tag 漂移或废弃仓库劫持注入后门。现有方案里，Dependabot 只能管到 package.json 级别，对 workflow 本身的 action@version 缺乏细粒度管控。
这份 recipe 的核心价值在于把 Sigstore 签名验证、SHA 级 pin 和最小权限 token 三件事串成了可落地的检查清单，比 GitHub 官方文档更贴近多仓库维护者的实际痛点。
如果你所在组织有超过 20 个仓库共用一套 CI 模板，建议直接把它纳入内部 Golden Path 的强制门禁。