几乎每个客户代码库都有同一隐患：GitHub Actions 未锁版本

andersonbcdefg · x · 2026-11-06

danlovesproofs 指出其在几乎所有客户代码库中都发现的攻击向量：未固定到特定版本的 GitHub Actions。Actions 是在 CI 和部署流程中运行的构建步骤，大量第三方 action（列出变更文件、登录 Docker、部署 GitHub Pages 等）几乎人人都在用。

问题在于这些 action 的行为可以随时被第三方更改：它们不在你自己的版本控制之下，等于是 CI 里一段随时可能被替换的代码。许多被广泛使用的 action 由个人开发者在私人 GitHub 账号上维护，风险进一步放大。andersonbcdefg 则表态自己“永远不用 GitHub Action”。