审计 GitHub Actions 工作流中的不安全权限与未固定操作

审计 GitHub Actions 工作流中的不安全权限与未固定操作 是做什么的？

该 ASE 技能使用 zizmor 审计 GitHub Actions 工作流和复合操作，在发布前识别安全错误。代理可以扫描本地仓库或远程 GitHub 仓库，标记有风险的权限范围和危险的工作流模式，并返回普通输出、GitHub 原生发现或 SARIF 以便于后续自动化处理。

前提条件

GitHub Actions 工作流文件或 GitHub 仓库，仅在审计远程或私有仓库时需要 GitHub 令牌

安装

基本使用或入门说明：

• 详细使用食谱

• 来源：https://github.com/zizmorcore/zizmor

• 提取自上游文档：https://raw.githubusercontent.com/zizmorcore/zizmor/HEAD/README.md

文档

• https://docs.zizmor.sh/

来源

• Agent Skill Exchange