北京
GitHub Actions 为自动化工作流提供了强大的执行能力，但很多团队在配置权限时仍沿用默认的“宽泛授权”模式。这种默认做法虽然省事，却显著扩大了 CI/CD 链路的攻击面。一旦恶意代码注入第三方 action，或某个 pull_request 被异常利用，过大的 GITHUB_TOKEN 权限可能直接导致源码泄露、依赖被篡改甚至生产环境被破坏。
要降低此类风险，核心思路是遵循“最小权限原则”：每个工作流、每个 job 只获得完成自身任务所需的最高权限。事实上，GitHub 允许在 workflow 顶层或 job 级别显式声明 permissions，你完全可以做到“默认只读，按需提升”。例如，将 permissions: contents: read 写入 workflow 顶部，即可关闭默认的写权限；如果某个 job 需要发布 release，再单独为它配置更高的 token 权限。
除了收紧 GITHUB_TOKEN，还可以综合运用环境保护规则、OIDC 短期凭证、锁定 action 版本（使用 commit SHA 而非标签）等手段，进一步缩小攻击面。通过这些措施，你既能保证发布、扫描、测试等核心流程正常运行，又能让权限边界变得清晰可控。安全不是靠直觉，而是靠默认最小化。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
