GitHub Actions رویداد pull_request_target را پیش‌فرض مسدود می‌کند
GitHub Actions از ۲ دسامبر ۲۰۲۶ اجرای پیش‌فرض رویداد pull_request_target را در مخازن عمومی مسدود می‌کند، مگر سیاستی صریح آن را مجاز بداند.
GitHub Actions از ۲ دسامبر ۲۰۲۶ رویداد pull_request_target را در همه مخازن عمومی به‌طور پیش‌فرض مسدود می‌کند؛ مگر اینکه یک سیاست قابل‌اعمال برای رویدادهای Actions، اجرای آن را صراحتاً مجاز کرده باشد. زمان اجرای قطعی این تغییر پیش‌تر ۲ نوامبر اعلام شده بود.
این محدودیت از طریق محافظت‌های اجرای ورک‌فلو اعمال می‌شود و فعلاً در حالت ارزیابی قرار دارد. یعنی تیم‌ها می‌توانند پیش از شروع مسدودسازی دائمی، اجراهایی را که مشمول قانون می‌شوند مشاهده کنند. مخازن خصوصی و داخلی تحت تأثیر این تغییر نیستند.
رویداد pull_request_target در بستر مخزن پایه اجرا می‌شود و به اسرار آن دسترسی دارد. بنابراین اجرای کد غیرقابل‌اعتماد از یک فورک می‌تواند خط لوله را به خطر بیندازد یا اسرار را افشا کند؛ موضوعی هم‌راستا با نگرانی‌های نشت کلید API. توسعه‌دهندگانی که به این تریگر وابسته‌اند، باید سیاست اجرای ورک‌فلوهای خود را بازبینی کنند.
گیت‌هاب پیش از اجرای دائمی، این محافظت را در دو بازه آزمایشی موقت اعمال می‌کند. در این زمان‌ها، تلاش‌های مسدودشده در مخازن عمومی اجرای ناموفق با یادداشت خطا ایجاد می‌کنند و ورک‌فلو اجرا نمی‌شود. پس از هر بازه، قانون دوباره به حالت ارزیابی برمی‌گردد. پیش از نخستین بازه در ۹ نوامبر، می‌توان از Insights برای شناسایی اجراهای در معرض مسدودسازی استفاده کرد.
این تغییر برای مخازن عمومی در GitHub Free، GitHub Team و GitHub Enterprise Cloud اعمال می‌شود و GitHub Enterprise Server را شامل نمی‌شود.
منبع: GitHub Changelog
پروژه‌ای در این زمینه دارید؟
مشاوره‌ی اولیه و برآورد هزینه رایگان است.
