GitHub Actions 堵上 fork PR 安全漏洞
推荐指数 74.0 NO. 003 · 2026.08.28
Stars8,731
为什么值得看
actions/checkout v7 默认拒绝检出 fork PR 代码，修复长期存在的 pwn request 攻击面。对运行公开仓库 CI 的团队，这是必须升级的安全补丁，可避免 secrets 泄露和 runner 被接管。
Action for checking out a repo
编辑判断
pwn request 是 GitHub Actions 最臭名昭著的漏洞模式之一，攻击者通过 fork PR 执行恶意 workflow 代码即可窃取 base 仓库的 secrets 甚至控制 runner。此前社区主要靠人工审查 PR 标签或禁用 pull_request_target 来缓解，但默认不防护导致误配置极常见。v7 的 refuse-checkout 设计比 GitLab 的类似机制更激进——直接阻断代码检出而非仅告警，牺牲了部分易用性换取安全基线。如果你维护着有 secrets 的公开仓库，建议立即升级并审计现有 workflow 是否依赖 fork PR 构建，必要时用 workflow_run 事件解耦构建与评论权限。
Star History
生态分析
Production
GitHub Actions 官方核心基础组件，定义了 CI/CD 工作流代码检出的行业标准
独特价值：平台原生集成，默认安全加固，是 GitHub Actions 工作流的必需基础设施