Actions bara på skyddade branches
Den som kan pusha en branch kan ändra arbetsflödet som körs på den, och det arbetsflödet ser repots och organisationens hemligheter. Kör bara arbetsflöden på skyddade branches stänger den vägen: när inställningen är på körs ett arbetsflöde bara om den ref som startade det är en skyddad branch.
Den är avstängd som standard. Slå på den under Säkerhet › Policyer › Repo-regler (Bygg och driftsätt › Miljöer länkar dit), eller med:
curl -X PUT -H "Authorization: Bearer ${FREMFORGE_PAT}" -H "Content-Type: application/json" \
-d '{"only_protected_branches": true}' \
"https://frem.sh/_app/api/v1/orgs/acme/security/actions-policy"Token behöver policy:write.
Vad den vägrar
När inställningen är på vägrar runnern ett jobb om inte:
- ref:en är en branch,
refs/heads/<name>. Push av taggar och alla andra refs vägras; - repot har en regel för branch-skydd vars namn är exakt det branch-namnet. En jokerteckenregel som
release/*räknas inte.
Om fremforge inte kan läsa repots branch-skydd vägras jobbet i stället för att köras.
Kontrollera hur dina arbetsflöden för pull requests och taggar startas innan du slår på inställningen: ett arbetsflöde som körs på en annan ref kommer inte att köras.