GitHub Actions 2026年安全防护机制更新分析

发生了什么

据Wiz.io分析，GitHub在2026年通过一系列平台级更新强化了Actions的安全性，旨在缓解pull_request_target触发器带来的风险。主要措施包括发布actions/checkout@v7.0.0、引入只读缓存令牌、以及对旧版本checkout进行补丁回溯。自2026年12月2日起，GitHub开始强制执行默认事件策略，限制公共仓库中未经明确策略授权的pull_request_target触发。研究指出，尽管防护增强，但通过SHA固定旧版本、使用自定义脚本绕过checkout动作或利用issue_comment等未受保护的特权触发器，仍可能导致安全风险。