Сведения изложены в пересказе DevOps.com.

DevOps.com сообщает, что GitHub сделала общедоступной защиту выполнения рабочих процессов для GitHub Enterprise, организаций и репозиториев. Администратор составляет список разрешённых участников и событий, а GitHub проверяет правила до начала запуска рабочего процесса.

Правила можно применять к отдельным файлам рабочих процессов вместо всего репозитория. Режим оценки показывает, какие запуски правило заблокировало бы до его включения.

С 2 ноября 2026 года GitHub начнёт применять правило по умолчанию к pull_request_target в публичных репозиториях, где нет политики событий. Это правило не распространяется на приватные и внутренние репозитории.

Проверка утверждений:

  • GitHub может выдать участнику право записи, не давая ему права запускать рабочие процессы. (подтверждено только публикацией-переносчиком: доказательство; «Actor rules let you separate who contributes code from who runs your CI, so you can grant a contributor write access without granting them the ability to execute workflows.»)
  • GitHub сделала общедоступной защиту выполнения рабочих процессов для GitHub Enterprise, организаций и репозиториев. (подтверждено только публикацией-переносчиком: доказательство; «On September 17, the company made workflow execution protections GA for GitHub Enterprise, organizations, and repositories.»)
  • Администратор составляет список разрешённых участников и событий, а GitHub проверяет правила до начала запуска рабочего процесса. (подтверждено только публикацией-переносчиком: доказательство; «Administrators build an allowlist. GitHub checks the rules before a workflow run begins. If the actor or the event isn’t on the list, the run doesn’t start.»)
  • Правила можно применять к отдельным файлам рабочих процессов вместо всего репозитория. (подтверждено только публикацией-переносчиком: доказательство; «First, rules can now target specific workflow files instead of a whole repository.»)
  • Режим оценки показывает, какие запуски правило заблокировало бы до его включения. (подтверждено только публикацией-переносчиком: доказательство; «Evaluate mode carries over from the preview. It lets admins “run your rules in shadow, so you can see exactly what a rule would block before you enforce it,” according to the June announcement.»)
  • С 2 ноября 2026 года GitHub начнёт применять правило по умолчанию к pull_request_target в публичных репозиториях, где нет политики событий. (подтверждено только публикацией-переносчиком: доказательство; «A default rule disables pull_request_target in public repositories that don’t already have an event policy. It’s running in evaluate mode today. Enforcement starts November 2, 2026. It doesn’t apply to private or internal repositories.»)
  • Это правило не распространяется на приватные и внутренние репозитории. (подтверждено только публикацией-переносчиком: доказательство; «It doesn’t apply to private or internal repositories.»)

Публикации:

оценка 75,0 из 100 · тип: анонс