GitHub Actions Self-Hosted Risk Audit 是一个专门用于检测自托管运行器（self-hosted runners）中高风险工作流模式的工具。随着企业越来越多地将 GitHub Actions 工作流部署到自有基础设施上，自托管运行器的安全风险也日益凸显。该工具通过扫描项目中的 YAML 工作流文件，识别出可能引入安全漏洞的配置组合，帮助开发者和 DevOps 团队提前发现潜在威胁。其核心能力在于识别不受信任的触发事件、宽松的权限设置以及凭据处理不当等问题，从而降低因配置失误导致的安全事故。 该工具默认扫描 `.github/workflows/` 目录下的所有 YAML 文件，自动识别引用 `self-hosted` 标签的工作流，并评估其整体风险等级。它支持文本和 JSON 两种输出格式，既可用于本地审查，也可集成到 CI/CD 流程中作为门禁机制。用户可通过调整警告与严重等级的阈值来定制审计策略，满足不同组织的安全合规要求。此外，该脚本还支持正则表达式匹配特定工作流文件，实现更精细化的扫描控制。 作为一款轻量级但功能强大的安全审计技能（skill），它无需复杂依赖即可运行，适用于多种自动化审计场景。无论是开源项目维护者还是企业内部安全团队，都可以借助此工具快速定位高风险工作流，提升 GitHub Actions 在混合环境下的安全性。通过前置风险识别，避免因误用自托管运行器而导致敏感数据泄露或供应链攻击等严重后果。
核心功能特点
- 自动扫描工作流 YAML 文件，识别使用 self-hosted 运行器的作业
- 检测高风险触发器组合，如 pull_request_target 与 issue_comment 同时启用
- 标记未限制凭据持久化的 actions/checkout 步骤
- 支持自定义风险评分阈值和输出格式（文本/JSON）
- 可集成至 CI 流程，实现关键风险阻断（fail gate）
适用场景
该工具特别适用于需要严格管控自托管运行环境的企业级项目。例如，当团队将 GitHub Actions 部署到公司内部服务器或云主机时，若未对运行器进行充分隔离，恶意 PR 或评论可能触发执行任意代码。此时，Self-Hosted Risk Audit 能迅速发现那些同时启用 pull_request 和 issue_comment 触发器的工作流，提示可能存在‘代码注入’风险。对于此类高危场景，建议结合 FAIL_ON_CRITICAL 参数强制阻断部署，确保只有通过安全审查的工作流才能上线。 另一个典型应用场景是多云或多区域部署架构。许多组织在不同地域使用独立的自托管运行器集群，若工作流未指定具体路由标签（如 region=us-east），则可能意外调度到非预期节点。该工具会标记仅选择 self-hosted 而不加额外约束的工作流，提醒管理员补充细粒度路由策略，防止任务错配或资源滥用。同时，它还能检查是否授予了 write 权限，避免因过度授权导致不可逆操作。 此外，在持续集成流水线中加入此审计环节，可有效强化供应链安全。特别是在开源项目中接受外部贡献时，pull_request_target 常被滥用以获取仓库写入权限。通过定期运行该脚本，可以及时发现并修复此类配置缺陷，降低被恶意利用的可能性。无论是日常代码审查还是发布前的安全检查，该工具都能提供清晰的风险概览，助力构建更健壮的自动化交付体系。