ຊ່ອງໂຫວ່ໃນຕົວຈັດການ GitHub Actions ອະນຸຍາດໃຫ້ແພັກເກັດຕ່າງໆໃນ Nixpkgs ໄດ້ຮັບການບຸກລຸກ.

ຊ່ອງໂຫວ່ໃນຕົວຈັດການ GitHub Actions, ເຊິ່ງຖືກເອີ້ນໂດຍອັດຕະໂນມັດເມື່ອສົ່ງຄໍາຮ້ອງຂໍດຶງໄປຫາບ່ອນເກັບຂໍ້ມູນແພັກເກັດ Nixpkgs, ທີ່ໃຊ້ໃນການແຈກຢາຍ NixOS ແລະລະບົບນິເວດຜູ້ຈັດການແພັກເກັດ Nix, ໄດ້ຖືກເປີດເຜີຍ. ຊ່ອງໂຫວ່ໄດ້ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດເອົາ token ໃຫ້ການອ່ານ ແລະຂຽນເຂົ້າເຖິງລະຫັດແຫຼ່ງຂອງທຸກແພັກເກັດທີ່ຢູ່ໃນ Nixpkgs. token ນີ້ອະນຸຍາດໃຫ້ແກ້ໄຂໂດຍກົງຂອງແພັກເກັດໃດໆໂດຍຜ່ານບ່ອນເກັບມ້ຽນ Git ຂອງໂຄງການ, ຂ້າມຂະບວນການທົບທວນແລະການອະນຸມັດ.

ຄວາມສາມາດໃນການປະນີປະນອມ Nixpkgs ແລະໃສ່ລະຫັດ custom ເຂົ້າໄປໃນຊຸດໃດກໍ່ຕາມໄດ້ຖືກສະແດງໃຫ້ເຫັນໂດຍນັກຄົ້ນຄວ້າຄວາມປອດໄພໃນເດືອນຕຸລາທີ່ຜ່ານມາໃນກອງປະຊຸມ NixCon ແລະໄດ້ຖືກປັບປຸງທັນທີໃນໂຄງສ້າງພື້ນຖານຂອງໂຄງການ. ຢ່າງໃດກໍຕາມ, ລາຍລະອຽດຂອງການໂຈມຕີໄດ້ຖືກເປີດເຜີຍພຽງແຕ່ຫນຶ່ງປີຕໍ່ມາ. ບັນຫາແມ່ນກ່ຽວຂ້ອງກັບການນໍາໃຊ້ຕົວຈັດການ GitHub Actions ຢູ່ໃນບ່ອນເກັບຂໍ້ມູນ Nixpkgs GitHub, ເຊິ່ງຜູກມັດກັບເຫດການ "pull_request_target" ແລະປະຕິບັດການກວດສອບອັດຕະໂນມັດຕາມຄໍາຮ້ອງຂໍດຶງໃຫມ່.

ບໍ່ເຫມືອນກັບເຫດການ "pull_request", ຜູ້ຈັດການໃນ "pull_request_target" ໄດ້ຮັບອະນຸຍາດໃຫ້ອ່ານ / ຂຽນເຂົ້າເຖິງສະພາບແວດລ້ອມການກໍ່ສ້າງ, ເຊິ່ງຕ້ອງການການດູແລພິເສດໃນເວລາທີ່ເຮັດວຽກກັບຂໍ້ມູນທີ່ຜ່ານໃນຄໍາຮ້ອງຂໍດຶງ. ຫນຶ່ງໃນຕົວຈັດການທີ່ຜູກມັດກັບ "pull_request_target" ໄດ້ກວດສອບໄຟລ໌ "OWNERS" ທີ່ສະຫນອງໃຫ້ຢູ່ໃນຄໍາຮ້ອງຂໍດຶງໂດຍການກໍ່ສ້າງແລະໂທຫາ codeowners-validator utility: ຂັ້ນຕອນ: — ການນໍາໃຊ້: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf ກັບ: ref: —m refs/buildci/pull/$/ -A codeownersValidator — run: result/bin/codeowners-validator env: OWNERS_FILE: pr/ci/OWNERS

ບັນຫາແມ່ນວ່າຖ້າໄຟລ໌ OWNERS ຖືກຈັດຮູບແບບບໍ່ຖືກຕ້ອງ, codeowners-validator utility ຈະອອກເນື້ອໃນຂອງ string ທີ່ບໍ່ຖືກຕ້ອງເປັນມາດຕະຖານ, ເຂົ້າເຖິງສາທາລະນະ. ການໂຈມຕີປະກອບດ້ວຍການວາງການເຊື່ອມຕໍ່ສັນຍາລັກທີ່ມີຊື່ OWNERS ໃນຄໍາຮ້ອງຂໍດຶງ, ຊີ້ໄປຫາໄຟລ໌ ".credentials", ເຊິ່ງເກັບຮັກສາຂໍ້ມູນປະຈໍາຕົວໃນສະພາບແວດລ້ອມການກໍ່ສ້າງ. ດັ່ງນັ້ນ, ການປະມວນຜົນໄຟລ໌ນີ້ເຮັດໃຫ້ເກີດຄວາມຜິດພາດ ແລະແຖວທໍາອິດ, ທີ່ມີ token ການເຂົ້າເຖິງ repository, ໄດ້ຖືກສົ່ງອອກໄປຍັງບັນທຶກສາທາລະນະ.

ນອກຈາກນັ້ນ, ຊ່ອງໂຫວ່ອື່ນໄດ້ຖືກພົບເຫັນຢູ່ໃນຕົວຈັດການທີ່ກວດສອບກົດລະບຽບການແກ້ໄຂ. ຂັ້ນ ຕອນ: — ຊື່: ໄດ້ ຮັບ ບັນ ຊີ ລາຍ ຊື່ ຂອງ ການ ປ່ຽນ ແປງ ໄຟລ ໌ ຈາກ ການ ດໍາ ເນີນ ງານ PR: gh api […] | jq [ … ] > «$HOME/changed_files» — ໃຊ້: actions/checkout@eef61447b9ff4aafe5dcd4e0bbf5d482be7e7871 ກັບ: ref: refs/pull/$/merge — ຊື່: ກຳລັງກວດສອບ EditorConfig run: cat «$HOME/changed_file xargs -r editorconfig-checker

ໃນກໍລະນີນີ້, ບັນຫາແມ່ນການໃຊ້ "xargs" utility ເພື່ອດໍາເນີນການ editorconfig-checker ກັບແຕ່ລະໄຟລ໌ໃນຄໍາຮ້ອງຂໍດຶງ. ເນື່ອງຈາກຊື່ໄຟລ໌ບໍ່ໄດ້ຖືກກວດສອບ, ຜູ້ໂຈມຕີສາມາດລວມເອົາໄຟລ໌ທີ່ມີຕົວອັກສອນພິເສດຢູ່ໃນຄໍາຮ້ອງຂໍການດຶງ, ເຊິ່ງຈະຖືກປຸງແຕ່ງເປັນ arguments ແຖວຄໍາສັ່ງໃນເວລາແລ່ນ editorconfig-checker. ຕົວຢ່າງ, ເມື່ອສ້າງໄຟລ໌ "--help", editorconfig-checker ຈະສະແດງຄໍາແນະນໍາກ່ຽວກັບທາງເລືອກທີ່ມີຢູ່.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru