GitHub Actions 的安全隐患：可变标签的风险

近日，一个名为 tj-actions/changed-files 的 GitHub Action 被发现存在安全漏洞，攻击者可通过修改其可变 Git 标签来注入恶意代码，泄露用户的构建日志中的密钥。文章作者分享了一个用于检查自身 GitHub Actions 工作流中使用了哪些 Action 的 shell 脚本，并探讨了使用固定提交 ID 来增强安全性的方法，以及如何评估不同 Action 提供商的可信度。作者建议优先选择来自大型组织的 Action，或自行编写脚本替代不信任的 Action。