https://plumephp.com/tags/%E6%B3%A8%E5%85%A5%E6%94%BB%E5%87%BB/Recent content in 注入攻击 on PlumePHPHugozh-CNSat, 26 Sep 2026 10:00:00 +0800https://plumephp.com/github-actions-security-hardening/Sat, 26 Sep 2026 10:00:00 +0800https://plumephp.com/github-actions-security-hardening/<blockquote> <p>CI/CD 管道已成为供应链攻击的第一目标：攻击者通过投毒第三方 Action、利用 fork PR 的宽松上下文、或操纵 issue 标题触发注入，最终窃取 Secrets 或篡改产物。本文聚焦工作流自身的加固：从 <code>GITHUB_TOKEN</code> 的细粒度权限、第三方 Action 的 SHA 固定与审计，到注入防御、SLSA/Sigstore 供应链证明，以及 Runner 隔离策略，构建纵深防御。</p>