python / python/python-docs-es
Avoiding `pull_request_target` usage in workflows
まだ誰も着手していません。
- 主要言語
- Python
- スター
- 371
- フォーク
- 413
- PR マージ指標
- 30日以内にマージされた PR はありません
説明
One of this repositories workflow's uses pull_request_target:
Please see the GitHub documentation for a list of risks associated with the target. I see the workflow is currently quite careful, but IMO it is still better to split it into two, one for building and one for posting.
It is now disallowed by actions/checkout (see blog post). We are also considering disabling it across the organisation (new feature), but it would break this workflow.
コントリビューションガイド
このリポジトリのコントリビューションガイドは索引されていません
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
調査の方向性
.github/workflows/pr-comment.yml の 4 行目から始め、リンクされている checkout の変更と併せて、pull_request_target を安全に使用するための GitHub のガイダンスを読んでください。提案どおりにビルドと投稿の責務を分離し、そのうえで、pull_request_target を使用する workflow がないこと、および両方の必須アクションが引き続き安全に動作することを確認してください。
索引モデルが issue の本文から書いたものです。
評価
- 技術スタック
- github-actions
- 領域
- ci-cd, security
- issue の種類
- リファクタリング
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 活発さ
- 静か
- 明瞭さ
- おおむね明確
- 初心者へのやさしさ
- 55/100