Убедитесь, что какое-то действие GitHub выполняется только владельцем - PullRequest
Новая
       12

Убедитесь, что какое-то действие GitHub выполняется только владельцем

0 голосов
/ 23 апреля 2020

У меня есть действие, которое загружает контекст на другой сайт. Токен был установлен и сохранен в secret.MY_TOKEN.

Но другие, которые делают запрос на извлечение, также запускают это задание действия с помощью установленного мной токена.

Как ограничить привилегию выполнения заданий, чтобы только я мог выполнять это задание действия.

fyi my ci.yml следующим образом: 

name: foobar

on: [push, pull_request]

jobs:

  upload:
    runs-on: ubuntu-latest

    steps:
    ....

    - name: execute upload
      env:
        TOKEN: ${{ secrets.MYTOKEN }}
      run:
        upl --token ${TOKEN}

Я предполагаю, что здесь есть две проблемы безопасности.

  1. Маркер напечатан в файле журнала.
  2. другие, которые могут использовать этот личный токен, вызывая действие со своей собственной целью.
...