flawopen.com/GitHub Actions 安全/工作流脚本注入

GitHub Actions 如何发生脚本注入，怎样防范？

根因：shell 解析前已插入数据

GitHub 在启动 run 步骤的 shell 前展开表达式。若不可信标题直接插入脚本，其字符可能改变 shell 程序，而非保留为数据。通过 env: 传值会使其与脚本文本分离；加引号后，在普通命令中仍作为参数。但这不能保护后续传给 eval、其他解释器或将参数当代码的工具。GitHub 将事件字段视为可能由攻击者控制的输入。

# 不安全：事件数据会进入生成的 shell 脚本
name: Issue Triage
on:
  issues:
    types: [opened]

permissions:
  contents: read

jobs:
  triage:
    runs-on: ubuntu-latest
    steps:
      - name: Print issue title
        run: |
          printf 'Title: %s\n' "${{ github.event.issue.title }}"

# 更安全：通过环境变量传递事件值
name: Issue Triage
on:
  issues:
    types: [opened]

permissions:
  contents: read

jobs:
  triage:
    runs-on: ubuntu-latest
    steps:
      - name: Print issue title
        env:
          ISSUE_TITLE: ${{ github.event.issue.title }}
        run: |
          printf 'Title: %s\n' "$ISSUE_TITLE"

攻击路径概览

加固检查清单

• ✓不要把不可信 github.event 值直接插入 run:。通过 env: 传递，并给 "$ISSUE_TITLE" 这类展开加引号。
• ✓让不可信值远离 eval、生成脚本、shell 命令字符串，以及将参数解释为代码或选项的工具。
• ✓在 workflow 或 job 设置严格 permissions:，仅向确需的 job 授予写权限。
• ✓将 pull_request_target 和 workflow_run 视作特权边界。不要在此上下文检出、构建或执行不可信 PR 代码或制品。
• ✓不要把不可信多行数据写入 GITHUB_ENV 或 GITHUB_PATH。GitHub 禁止覆盖 GITHUB_* 和 RUNNER_*，但其他值仍可能影响后续步骤。
• ✓第三方 Action 固定到已审查的完整 SHA；不可信 job 使用隔离且短暂的 runner，并为 Actions 工作流启用 CodeQL。

一手来源

• GitHub 文档 — 脚本注入
• GitHub 文档 — 安全使用参考
• GitHub 文档 — 安全使用 pull_request_target
• GitHub 文档 — 工作流命令与 GITHUB_ENV
• GitHub 文档 — GITHUB_TOKEN 权限