The GitHub Blog
·
我们GitHub Actions 2026安全路线图将迎来什么
💡
原文英文，约2000词，阅读约需8分钟。
📝
内容提要
软件供应链攻击日益严重，GitHub Actions计划在2026年加强安全，重点在依赖锁定、政策驱动执行和CI/CD监控。新功能将确保工作流可审计、凭证安全和执行受控，从而减少攻击面，提升安全性。
🎯
关键要点
-
软件供应链攻击日益严重，攻击者针对CI/CD自动化而非仅仅是构建的软件。
-
2026年GitHub Actions计划将重点放在依赖锁定、政策驱动执行和CI/CD监控上。
-
引入工作流级别的依赖锁定，确保所有直接和传递依赖项的可审计性。
-
通过政策驱动执行来减少攻击面，确保工作流执行的安全性。
-
引入细粒度的机密管理，确保凭证仅在明确的执行上下文中可用。
-
推出企业级的端点保护，包括Actions数据流和本地出口防火墙。
-
目标是将CI/CD视为关键基础设施，增强可见性和控制。
-
GitHub Actions将向默认安全、可审计的自动化平台转变，减少每个团队的重建工作。
❓
延伸问答
GitHub Actions在2026年将如何增强安全性？
GitHub Actions计划通过依赖锁定、政策驱动执行和CI/CD监控来增强安全性，确保工作流可审计和凭证安全。
什么是工作流级别的依赖锁定？
工作流级别的依赖锁定是指在工作流YAML中引入依赖项部分，以锁定所有直接和传递依赖项的提交SHA，从而确保可审计性和可重复性。
政策驱动执行如何减少攻击面？
政策驱动执行通过定义中央政策来控制谁可以触发工作流和允许哪些事件，从而减少过度授权和配置错误的风险。
GitHub Actions将如何处理机密管理？
GitHub Actions将引入细粒度的机密管理，允许将凭证绑定到特定的执行上下文，确保凭证不会被不必要地继承。
GitHub Actions的端点保护有哪些新功能？
新功能包括Actions数据流提供实时可见性和本地出口防火墙，确保CI/CD基础设施的安全和控制。
GitHub Actions的未来目标是什么？
未来目标是建立一个统一的政策优先安全模型，减少隐式行为和每个工作流的配置，增强工作流执行、机密访问和事件触发的信任边界。
➡️
