GitHub Actions を静的検査するツールの紹介 (actionlint/ghalint/zizmor)

先日、 tj-actions/changed-files や reviewdog/action-* などのアクションの Git タグが書き換えられるという出来事がありました。 これにより、これらのアクションを Git タグで参照している GitHub Actions Workflow 内で悪意のあるコードが実行されてしまうという事態が発生しました。 このような事態を防ぐためには、アクションの参照には Git タグではなくコミットハッシュを使用するなどの対策が必要です。 # ❌ Git タグは書き換えられる可能性がある - uses: actions/checkout@v4 - uses: actions/checkout@v4.2.2 # ⭕ コミットハッシュを指定しておけば Git タグが書き換えられても影響を受けない - uses: actions/checkout@11bd71901

[tmatsuu]

やはりコミットハッシュ指定が必要か。ですよねぇ。

[arrowKato]

生成AIのツールが流行ってもルールベースで異常や怪しいところが検出できるならそっちから適用するべき。

[poad1010]

この記事をおすすめしました