审计 GitHub Actions 工作流缓存的投毒、密钥泄露和密钥路径风险
GitHub 动作缓存硬化审计
功能概述
GitHub 动作缓存硬化审计是一项面向实际任务的技能，主要用于使用此技能静态地对 . github/ work flows/ *. yml 缓存模式进行审计, 以发现可能导致缓存中毒、 缓存缓存churn 或秘密泄漏。它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。
核心要点
- 使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。
- 该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。
- 从功能定位来看，该技能强调把分散的操作要求整理成清晰、可复用的处理流程，使用户能够围绕既定目标快速准备输入、选择执行方式并获得结构化结果。
使用与执行
实际使用前应先确认任务范围、数据来源、运行环境、必要权限和关键参数，再依据技能说明逐步执行；若输入条件不完整，应先补齐信息或采用保守配置，避免因错误假设导致结果偏离需求。
结果检查与注意事项
执行过程中需要关注工具调用是否成功、接口或依赖是否可用、输出格式是否符合预期，并对异常提示、缺失字段和边界情况进行处理；涉及批量任务时，还应保存进度，避免中断后重复操作。
GitHub Actions 缓存加固审计
使用此技能对 .github/workflows/*.yml 文件进行静态审计，识别可能导致缓存投毒（cache poisoning）、缓存陈旧抖动（stale cache churn）或密钥泄露（secret leakage）的风险缓存模式。
此技能检查的内容
- 在不受信任的触发器（如
pull_request_target）上使用actions/cache - 缓存键（cache key）未使用
hashFiles(...) restore-keys前缀范围过宽- 敏感路径被意外包含在缓存路径中（例如
.aws、.ssh、.npmrc、.git） - 缓存操作引用为浮动版本（如
@main、@master）
输入参数
可选：
WORKFLOW_GLOB（默认值：.github/workflows/*.y*ml）TOP_N（默认值：20）OUTPUT_FORMAT（可选值：text或json，默认值：text）WARN_SCORE（默认值：3）CRITICAL_SCORE（默认值：6）WORKFLOW_FILE_MATCH（正则表达式，可选）WORKFLOW_FILE_EXCLUDE（正则表达式，可选）FAIL_ON_CRITICAL（可选值：0或1，默认值：0）
运行方式
文本格式报告：
WORKFLOW_GLOB='.github/workflows/*.yml' bash skills/github-actions-cache-hardening-audit/scripts/cache-hardening-audit.sh
JSON 格式输出 + 失败门控（fail gate）：
WORKFLOW_GLOB='.github/workflows/*.yml' OUTPUT_FORMAT=json FAIL_ON_CRITICAL=1 bash skills/github-actions-cache-hardening-audit/scripts/cache-hardening-audit.sh
针对内置测试用例（fixtures）运行：
WORKFLOW_GLOB='skills/github-actions-cache-hardening-audit/fixtures/*.yml' bash skills/github-actions-cache-hardening-audit/scripts/cache-hardening-audit.sh
输出契约
- 默认情况下退出码为
0（仅报告模式） - 当设置
FAIL_ON_CRITICAL=1且检测到至少一个高危工作流时，退出码为1 - 文本模式输出摘要信息及排名靠前的告警工作流
- JSON 模式输出包含
summary、flagged_workflows和critical_workflows字段
热门AI工具
相关专题
github中文官网入口https://docs.github.com/zh/get-started，GitHub 是一种基于云的平台，可在其中存储、共享并与他人一起编写代码。 通过将代码存储在GitHub 上的“存储库”中，你可以： “展示或共享”你的工作。 持续“跟踪和管理”对代码的更改。
7965
2026.01.21
要对比两个版本的 git 文件，请使用 git diff 命令：git diff 比较工作树和暂存区之间的差异。git diff 比较两个提交或标签之间的差异。git diff 输出显示差异块，其中 + 表示添加的行，- 表示删除的行， 表示修改的行。可使用 gitkraken、meld、beyond compare 等可视化工具更直观地查看差异。本专题为大家提供相关的文章、下载、课程内容，供大家免费下载体验。
2281
2024.04.09
git提交错误撤回的方法：git reset head^：撤回最后一次提交，恢复到提交前状态。git revert head：创建新提交，内容与之前提交相反。git reset ：使用提交的 sha-1 哈希撤回指定提交。交互式舞台区：标记要撤回的特定更改，然后提交，排除已撤回更改。本专题为大家提供相关的文章、下载、课程内容，供大家免费下载体验。
2517
2024.04.09
Git是一个强大的版本控制系统，它提供了很多功能帮助开发人员有效地管理和控制代码的变更，本专题为大家提供git 撤销提交的commit相关的各种文章内容，供大家免费下载体验。
714
2023.07.24
git和svn的区别：1、定义不同；2、模型类型不同；3、存储单元不同；4、是否拥有全局版本号；5、内容完整性不同；6、版本库不同；7、克隆目录速度不同；8、分支不同。php中文网为大家带来了git和svn的相关知识、以及相关文章等内容。
1260
2023.07.06
本专题围绕Buffalo框架数据库开发，讲解database.yml多环境配置、soda与fizz迁移生成回滚、模型结构体标签、增删改查与条件查询、一对多与多对多关联、数据校验、回调钩子、事务处理及原生SQL执行能力。
0
2026.09.23
本专题讲解Buffalo框架路由与请求处理机制，涵盖路由注册与分组、资源路由、Handler编写规范、Context上下文方法、参数绑定、中间件编写挂载、Session与Cookie读写、Flash消息及错误页面定制方法。
0
2026.09.23
热门下载
相关下载
