GitHub Actionsにおける設定ミスに起因したGitHubスタッフのアクセストークン漏洩
(You can read this article in English here.) 免責事項GitHubはBug Bountyプログラムを実施しており、その一環として脆弱性の診断行為をセーフハーバーにより許可しています。 本記事は、そのセーフハーバーの基準を遵守した上で調査を行い、その結果発見した脆弱性に関して解説したものであり、無許可の脆弱性診断行為を推奨することを意図したものではありません。 GitHub上で脆弱性を発見した場合は、GitHub Bug Bountyへ報告してください。 要約GitHub Actionsのランナーのソースコードをホストするactions/runnerリポジトリにおいて、セルフホストランナーの使用方法に不備があり、結果としてGitHub Actionsに登録されているPersonal Access Tokenの窃取が可能だった。 このトークンはGit
gh auth loginで作成されたクレデンシャルだけで生活するためにgh-doを作った - Copy/Cut/Paste/Hatena
やっとgh auth loginで得たクレデンシャル（OSのセキュアストレージに保存されているもの）のみを使う生活になったぞ— k1LoW (@k1LoW) 2023年5月15日 GitHub CLIの gh auth login で作成されたクレデンシャルはOSのセキュアストレージに保存されるようになりました。 次のエントリが詳しいです。 blog.kyanny.me 「じゃあ、もう全部セキュアストレージに保存されたクレデンシャルを使えばOK」となるのですが、なかなかそうはいきません。 なぜかというとGitHubのクレデンシャルを使うツールによって環境変数の扱いが異なるからです。 GitHubのクレデンシャル設定の歴史（私の記憶版） 注意: 以下は、あくまで私の記憶であって実際と異なるかもしれません。 前史 GitHub CLI（ gh ）やGitHub Actionsの登場以前は、クレ
markuplintを開発し始めて5年経った
現在の数字 最新バージョン: v2.10.1 コミット数: 2,122 IssueとPull Request: 530件（クローズ含む） npmダウンロード: 11,179（週間） テストコード数: 916 テストカバレッジ: 74% GitHubスター: 315ユーザー スポンサー: 1ユーザー ふりかえり ライトニングトークでのお披露目 最初のコミットから約4ヶ月後、VS Code拡張も用意できて業務でもドッグフーディングしてある程度機能するようなったので、開発の動機と楽しんで開発できている旨をライトニングトークした。SNSを中心にそこそこ広まってくれたのもあって、GitHubのスターが増えたり、「使ってみよう」という声をぼちぼちと聞くようになった。最初のアピールとしては良い滑り出しだったとは思う。 当然ながらスライドは日本語だしSNSの広がりも国内にとどまったので、GitHubのスタ
GitHub、npmの“強化したセキュリティ機能”をより使いやすく改良 | gihyo.jp
GitHubは、同社が管理するJavaScriptパッケージリポジトリnpmにおいて、以下のようなセキュリティ機能関係の改善を発表した。 npmコマンドラインインターフェースによる、ログインおよびパブリッシュの効率化 npmへの2FA（2要素認証）の導入により、利用者はログイン時やパッケージ登録時に煩雑な操作を行う必要があったが、npm8.15.0より、ログインおよびパブリッシュの認証をブラウザ上で管理することができ、既存セッションを使用してログインする場合は2要素めの認証を省くことができるようになった。またパブリッシュの場合も、–auth-type=webフラグによりオプトインして使用する場合は2FAを5分間回避できる（npm9からはデフォルトで実装）。 GitHub/Twitterアカウントからnpmへ接続可能に npmのアカウントをGitHubアカウントやTwitterアカウント
git-pr-releaseとGitHub Actionsでワンクリックデプロイを実現する | おそらくはそれさえも平凡な日々
突然ですが、git-pr-releaseのなんちゃってコラボレーターである私が僭越ながら、その王道の使い方を皆様に伝授していきます。何番煎じかの記事ではありますが、現代の、特にGitHub Actions出現以降の使い方をまとめたいというのが動機です。 https://github.com/x-motemen/git-pr-release https://rubygems.org/gems/git-pr-release git-pr-releaseはGitHubを業務開発で利用している場合に便利なツールで、デフォルトブランチにマージされたpull requestをリリース項目として一覧し、それをpull request化してくれるものです。これにより以下のことが実現できます。 リリース項目が一覧されることによるリリース内容の明確化 マージボタンによる明快なワンクリックデプロイの実現 pul
GitHub ActionsにおけるStep/Job/Workflow設計論
この記事について GitHub Actionsには、以下3つの実行単位が存在します。 Workflow Job Step パイプラインを組む中で出てくる複数個の処理を、1つの実行単位でまとめてしまうか、それとも分割するのかというのは悩むポイントかと思います。 一つのstepのrunフィールドにコマンドを詰め込む？それともstepを分けた方がいい？ 一つのJobの中のstepとして記述した方がいい？それとも別のJobに定義した方がいい？ 一つのWorkflowの中にJobをたくさん定義する？それともWorkflowを別にする？ この記事では、Workflow・Job・Stepそれぞれの性質を踏まえた上で、ベストな処理単位の選び方を考察します。 使用する環境・バージョン GitHub Actions: 2022/5/15時点での機能をもとに考察 読者に要求する前提知識 GitHub Actio
GitHub で Squash merge されたブランチを削除する · ryym.log
TL;DR https://github.com/not-an-aardvark/git-delete-squashed git branch -dできない問題 GitHub にはSquash and mergeという機能がある。 これを使うと Pull Request のコミットを1つにまとめてマージする事ができるため、 1コミットだけのわずかな変更でマージコミットを作りたくない時などには便利だ。 しかし squash して新たにコミットを作る以上、 Git のコミット履歴としてはブランチのマージが残らないため、 ローカルに残っているSquash and merge済みのブランチを自動で削除しづらいという問題がある。 例えば普通にマージされたブランチなら、以下のようなコマンドで簡単に一括削除できる。 だがSquash and mergeされた場合は--mergedでは検出できない。 これ
Go で祝日判定をする github.com/soh335/shukujitsu を書きました - Nature Engineering Blog
こんにちは北原です。 Natureのバックエンドはおおよそ Go で書かれています。3月にリリースしたNatureスマート電気も同じく Go で実装されています。 energy.nature.global Natureスマート電気を作るにあたって、いわゆる営業日の計算をする必要があり*1、当時小さく、メンテナンスを自分でしていける Go のライブラリがなかったので github.com/soh335/shukujitsu というものを作りました。 github.com インターフェイスとしては与えられた日付が祝日かどうかを判定するもののみを提供しており非常にシンプルな作りになっています。 if shukujitsu.IsShukujitsu(time.Now()) { fmt.Println("shukujitsu!") } こちらは内閣府から提供されている csv データをもとに作成され
GitHub Actionsの`permissions`を自動で設定するツールを書いた
GitHub Actionsにはpermissionsというフィールドがあり、それぞれのWorkflow/Jobでのsecrets.GITHUB_TOKENの権限を設定できるようになっています。 secrets.GITHUB_TOKENはGitHub Actionsの実行ごとに発行されるGitHubのTokenで、多くのGitHub Actionsはこのトークンを使ってリポジトリをgit cloneしたり、Issueにコメントを書いたりしています。 GitHub Actions: Control permissions for GITHUB_TOKEN | GitHub Changelog Workflow syntax for GitHub Actions - GitHub Docs このpermissionsをちゃんと設定することでサプライチェーン攻撃などの影響を軽減することができます
shepherdを使って複数のリポジトリに一括でPRを出してまとめてマイグレーションする
複数のリポジトリに同じ変更をまとめて入れたい場合に手作業でやったり、手動でスクリプトを一から書くのは大変です。 Shepherdというツールを使うことで、複数のリポジトリにまとめてPRをだして、そのPRをまとめてマージすることで複数のリポジトリに一括で変更を入れた話を書きます。 Shepherd Shepherdはマイグレーション用の設定ファイル(シェルスクリプトとIDを定義するイメージ)を書いてまとめてマイグレーションするツールです。 GitHubから対象のリポジトリをローカルに持ってくるところからPRを出すところまでがステップとしてコマンドになっているツールです。 GitHubの検索クエリで対象のリポジトリを指定して、そのリポジトリをローカルに checkout ローカルのリポジトリに対して設定ファイルを元に変更を apply ローカルのリポジトリの変更を commit ローカルのリポ
Iosevkaというフォントが良い
突然ですが、皆さんはどのフォントでコーディングしていますか? monaco、Monospace、MSゴシックなど、等幅フォントを軸に種類は多種多様です そんな中、それらを尻目に私が使っているフォントはIosevkaというフォントです Iosevkaとは? 以下の特徴を持ったフォントです 等幅フォント 日本特有の文字種(㈱や㌕など)に対応 これらもきっちりと等幅を守っている リガチャ機能あり !=や<=など、特定の連続した文字列を合成して別の文字で表す機能 エディタもリガチャに対応している必要あり(VSCodeやAtom、iTerm2は対応しているので、大抵のエディタやIDEは対応していると思います) 特定の文字をプリセットの中から選ぶ事ができる プリセットから選んで、特定の文字のみデザインを変更することも可能 全体的な文字の太さ、デザイン、文字のゆとりも設定することが可能 特に 特定の文字
Firebase公式のGitHubとHostingのインテグレーションが熱い🔥
ウェブコンテンツをホスティングする際に Firebase Hosting という大変便利なサービスがあります。 2020/10/8にGitHub ActionsとFirebase Hostingの統合が強化され、より便利に利用できるようになったのでご紹介します。 なお、公式のドキュメントは以下となります。 現時点では機械翻訳のため、言語をEnglishにして読んだほうが正確です。 GitHubプルリクエストを介してライブチャンネルとプレビューチャンネルにデプロイする できるようになったこと できるようになったことは主に以下の3つです。 GitHub ActionsでPull requestを作成時に、プレビューサイトをデプロイできる GitHub ActionsでPull requestをマージ時に、本番サイトにデプロイできる Firebase CLIツールのコマンドでGitHub Act
Renovate の Tips - スタディサプリ Product Team Blog
こんにちは。 SRE の @suzuki-shunsuke です。 Quipper では Renovate という様々なツール、ライブラリのバージョンをアップデートしてくれるツールを活用しています。 今日はこれに関する Tips を紹介します。 Reviewer を設定する 対象を絞り込む 自動でマージする renovate-approve を使って自動で approve もする Terraform のリポジトリで安全に自動マージする 正規表現を使って update する depName を使って設定を簡略化する 更新対象のファイルごとに Pull Request を分割する PR が溜まらないように PR の数を制限する CI で設定をテストする 設定方法について renovatebot/config-help で質問してみる Reviewer を設定する https://docs.re
GitHub、グーグルのProject Zeroによって報告された深刻な脆弱性を修正
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます GitHubは、Googleのセキュリティ研究チームであるProject Zeroによって3カ月以上前に報告されていた深刻なセキュリティ脆弱性にようやく対処した。 この問題は、GitHubの開発者向けワークフロー自動化ツールである「GitHub Actions」機能に存在しており、Project ZeroのリサーチャーであるFelix Wilhelm氏の言葉を借りると、これにより同ツールは「インジェクション攻撃に対して極めて脆弱なものになる」という。GitHub Actionsは、Actionsランナーと実行済みアクションの間のコミュニケーションチャネルとして動作する、ワークフローコマンドと呼ばれる機能をサポートしている。 Projec
How to safely use GitHub Actions in organizations - Human Who Codes
GitHub Actions1 are programs designed to run inside of workflows2, triggered by specific events inside a GitHub repository. To date, people use GitHub Actions to do things like run continuous integration (CI) tests, publish releases, respond to issues, and more. Because the workflows are executed inside a fresh virtual machine that is deleted after the workflow completes, there isn’t much risk of
GitHub ActionsのbadgeをREADMEに簡単に入れるツールを書いた
GitHub Actionsのbadge画像のMarkdownコードを生成するgithub-actions-badgeというコマンドラインツールを作りました。 azu/github-actions-badge: Generate GitHub Actions badge Markdown code. こんな感じのGitHub ActionsのワークフローごとのBadgeを生成できます。 [](https://github.com/azu/github-actions-badge/actions?query=workflow%3A"test")
GitHubがコマンドラインツール「GitHub CLI」公開。コマンドラインからIssueやプルリクなど実行可能に。Windows、Mac、Linux対応
GitHubがコマンドラインツール「GitHub CLI」公開。コマンドラインからIssueやプルリクなど実行可能に。Windows、Mac、Linux対応 GitHubが新しいコマンドラインツール「GitHub CLI」をベータ版として公開しました。 Filter issues, create pull requests, checkout pull requests locally, and more—all from your command line. GitHub CLI is now in beta.https://t.co/KqoUaepoPu — GitHub (@github) February 12, 2020 GitHub CLIをインストールすると、「gh」コマンドが利用可能になり、コマンドラインからIssueの参照や作成、プルリクエストの発行などを実行可能です。W
npmとyarnの脆弱性とpostinstall - Cybozu Inside Out | サイボウズエンジニアのブログ
フロントエンドエキスパートチームの小林(@koba04)です。 先日、npmから脆弱性についての発表がありました。 調べていく中でいくつか思うところがあったので解説も兼ねて書いていきたいと思います。 The npm Blog — Binary Planting with the npm CLI npmの利用者としてやるべきことは、 npmのバージョンを6.13.4以上にあげる yarnのバージョンを1.21.1以上にあげる です。 npmのバージョンが6.13.4になったNodeもv8, v10, v12, v13系でそれぞれリリースされたので、そちらを利用することも可能です （yarnのバージョンは別途あげる必要があります）。 nodejs.org npmによる発表では、今回発表された脆弱性は2件あるため、それぞれ個別に考えます。 binに任意のパスを指定出来る件 npmパッケージはpa
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TypeScriptの設定の良し悪し
Gitの認証情報を奪い取れるGit 2.26.0以下にある脆弱性について