pull_request_target pull request'i checkout ediyor (ARCH10032)

Anahtar config.ci.pull-request-target-checkout · Önem error · Kategori security · CWE CWE-829

pull_request_target iş akışı temel deponun bağlamında, onun secret’ları ve yazma token’ıyla çalışır. Orada pull request’in head’ini checkout edip derlemek ya da test etmek, herkesin önerebileceği kodu bu yetkilerle çalıştırmak demektir.

Hatalı

on: pull_request_target
jobs:
  test:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          ref: ${{ github.event.pull_request.head.sha }}
      - run: npm ci && npm test

Doğru

on: pull_request
jobs:
  test:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: npm ci && npm test

Düzeltme

Değişikliği derleyen ya da çalıştıran her şey için pull_request kullanın; pull_request_target işini değişikliğin kodundan uzak tutun (etiket, yorum).

İşaretlenmeyenler

• pull_request_target iş akışında ref verilmeden actions/checkout: temel dalı checkout eder.