Chainguard警示SHA锁定非溯源

发生了什么

Platform Engineering报道，Chainguard的Erika Heidi指出，GitHub Actions的SHA锁定只能保证提交的不可变性，却无法确认提交的作者或其所属项目。组织级别的SHA强制检查仅验证是否为40字符提交SHA，不会检查提交的来源或所有权。她现场演示了通过fork的actions/checkout提交，虽然使用了固定SHA，但实际并非原项目代码，可能被用于泄露凭证或注入恶意代码。