Avoiding `pull_request_target` usage in workflows

Aberta
#3,864 1 comentário 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
4/5
Tempo estimado
3-5 dias
Facilidade para iniciantes
55/100
Tipo de issue
Refatoração
Clareza
Razoavelmente clara
Status de atividade
Pouca atividade
Stack de tecnologia
github-actions
Domínio
ci-cd, security

Direção de pesquisa

Comece por .github/workflows/pr-comment.yml na linha 4 e leia as orientações do GitHub sobre como usar pull_request_target com segurança, juntamente com a alteração de checkout vinculada. Separe as responsabilidades de build e publicação conforme proposto e, em seguida, verifique se nenhum workflow usa pull_request_target e se ambas as ações necessárias continuam funcionando com segurança.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

bug github_actions

One of this repositories workflow's uses pull_request_target:

https://github.com/python/python-docs-es/blob/9b99734eefaa1b21480066abc9a336dad45b95cd/.github/workflows/pr-comment.yml#L4

Please see the GitHub documentation for a list of risks associated with the target. I see the workflow is currently quite careful, but IMO it is still better to split it into two, one for building and one for posting.

It is now disallowed by actions/checkout (see blog post). We are also considering disabling it across the organisation (new feature), but it would break this workflow.

Linguagem predominante
Python
Estrelas
371
Forks
413
Nenhum PR com merge em 30d

Guia de contribuição

Nenhum guia de contribuição indexado para este repositório

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de python/python-docs-es

Todas as issues de python/python-docs-es

Issues semelhantes

Mais issues de Python

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.