Socket发布GitHub Actions安全防护指南
发生了什么
Socket技术动态分析指出，2025年至2026年间，供应链攻击常通过合法包的发布流程植入恶意代码，利用GitHub Actions传播。文章建议将Action固定至完整提交SHA，以防标签被篡改指向恶意提交。文中提到2025年3月tj-actions/changed-files标签被篡改，影响约23,000个仓库。建议通过Dependabot管理更新，并利用zizmor工具及组织策略强制执行SHA固定，以防范外部威胁。
报道与来源
1 篇发布方数量不等于独立核验数量。同稿的多个入口保留在对应报道中。
- Socket · 技术动态一手材料
Hardening GitHub Actions Against Outside Threats
来源关系与证据边界
按已记录的来源角色展示；连线仅表示原生身份流程确认的同稿入口，不表示独立佐证或跨报道引用。
- 一手材料1 个发布入口