Actions kun på beskyttede branches
Alle, der kan pushe en branch, kan ændre det workflow, der kører på den, og det workflow ser repositoryets og organisationens secrets. Kør kun workflows på beskyttede branches lukker den vej: når den er slået til, kører et workflow kun, hvis den ref, der udløste det, er en beskyttet branch.
Den er slået fra som standard. Slå den til under Sikkerhed › Politikker › Repository-regler (Byg og udrul › Miljøer linker dertil) eller med:
curl -X PUT -H "Authorization: Bearer ${FREMFORGE_PAT}" -H "Content-Type: application/json" \
-d '{"only_protected_branches": true}' \
"https://frem.sh/_app/api/v1/orgs/acme/security/actions-policy"Tokenet skal have policy:write.
Hvad den afviser
Når kontakten er slået til, afviser runneren et job, medmindre:
- ref’en er en branch,
refs/heads/<name>. Push af tags og alle andre refs afvises; - repositoryet har en regel for branch-beskyttelse, hvis navn er præcis det branchnavn. En regel med jokertegn som
release/*tæller ikke.
Kan fremforge ikke læse repositoryets branch-beskyttelse, afvises jobbet i stedet for at blive kørt.
Tjek, hvordan dine workflows for pull requests og tags udløses, før du slår den til: et workflow, der kører på en anden ref, vil ikke køre.