GitHub

GitHub Actions의 명령 주입과 워크플로 실행 보안 관련 문서입니다.

문서 목록

문서	경로
GitHub Actions run 블록 명령 주입	`cicd/github/run_block_injection`
GitHub Actions script 블록 주입	`cicd/github/script_block_injection`
GitHub Actions 전체 커밋 SHA 미고정	`cicd/github/unpinned_actions_full_length_commit_sha`
GitHub Actions 비보안 명령 허용	`cicd/github/unsecured_commands`

관련 문서4

GitHub Actions run 블록 명령 주입

GitHub Actions에서 신뢰할 수 없는 이벤트 값을 셸 코드에 직접 삽입하지 말고 데이터로 전달하세요.

GitHub Actions script 블록 주입

actions/github-script에 외부 값을 코드로 삽입하지 말고 JavaScript 데이터로 전달하세요.

GitHub Actions 전체 커밋 SHA 미고정

외부 액션을 검증한 전체 커밋 SHA로 고정해 참조 코드의 예기치 않은 변경을 줄이세요.

GitHub Actions 비보안 명령 허용

GitHub Actions의 비보안 명령 허용 설정을 제거하고 환경 파일을 사용하세요.