GitHub Actionsの`permissions`を自動で設定するツールを書いた

GitHub Actionsにはpermissionsというフィールドがあり、それぞれのWorkflow/Jobでのsecrets.GITHUB_TOKENの権限を設定できるようになっています。 secrets.GITHUB_TOKENはGitHub Actionsの実行ごとに発行されるGitHubのTokenで、多くのGitHub Actionsはこのトークンを使ってリポジトリをgit cloneしたり、Issueにコメントを書いたりしています。 GitHub Actions: Control permissions for GITHUB_TOKEN | GitHub Changelog Workflow syntax for GitHub Actions - GitHub Docs このpermissionsをちゃんと設定することでサプライチェーン攻撃などの影響を軽減することができます

[efcl]

GitHub Actionsの`permissions`の解説と使ってるActionの`permissions`を設定するツールについて

[yysaki]

“npx @pkgdeps/update-github-actions-permissions ”

[gfx]

“GitHub Actionsのデフォルトパーミッションはwrite-allです。 つまり、リポジトリの読み書き、IssueやPRの読み書きなど全部の権限がデフォルトでついています”

[sh19910711]

"permissionsをちゃんと設定することでサプライチェーン攻撃などの影響を軽減 / デフォルトパーミッションはwrite-all / read onlyでよいGitHub Actionsも、実際にはリポジトリやIssueへの書き込みできる権限も持ってしまっています"

[Kesin]

簡単な使い方しかしていない場合はread権限だけでほぼ問題ないだろうし良さそうですね

[hogashi]

よさそう