Выбор ответа Senior CI: пайплайны и артефакты обновлено
Фиксация сторонних actions
Вопрос
Как безопаснее всего подключать сторонний action в GitHub Actions?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: По полному SHA коммита: uses: org/action@<sha. Теги и ветки можно передвинуть: если автора action взломают, новый код выполнится в вашем пайплайне с вашими секретами.
Варианты ответа
- По ветке:
uses: org/action@main, чтобы всегда получать исправления - По мажорному тегу:
uses: org/action@v2 - Без версии:
uses: org/action, GitHub подставит последний релиз - По полному SHA коммита:
uses: org/action@<sha>правильный ответ
Разбор
Теги и ветки можно передвинуть: если автора action взломают, новый код выполнится в вашем пайплайне с вашими секретами. Такая атака с перезаписью тегов уже случалась у популярных actions. SHA коммита неизменяем, а обновления удобно получать через Dependabot или Renovate, которые понимают такие ссылки. Мажорный тег удобен, но подвижен. Без версии GitHub не примет ссылку.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.