使用 zizmor 审计 GitHub Actions 的权限与供应链风险

使用 zizmor 审计 GitHub Actions 的权限与供应链风险 是做什么的？

在合并前对 GitHub Actions 工作流进行一次集中的安全检查，尽早发现令牌滥用、危险权限和未固定操作等问题。

先决条件

Python 3.9+ 或预构建的 zizmor 二进制文件，对目标仓库的访问权限

安装

基本用法或入门说明：

• 详细使用指南。

• 源码：https://github.com/zizmorcore/zizmor

• 提取自上游文档：https://raw.githubusercontent.com/zizmorcore/zizmor/HEAD/README.md

文档

• https://woodruffw.github.io/zizmor/

来源

• Agent Skill Exchange