GitHub Actions Cache Hardening Audit 是一个专门用于静态分析 GitHub Actions 工作流文件中缓存配置安全风险的命令行工具。它通过扫描 `.github/workflows/*.yml` 文件，识别可能导致缓存投毒、密钥泄露或敏感信息暴露的潜在高危模式。该工具适用于需要提升 CI/CD 流水线安全性的开发团队，尤其是在处理来自外部贡献者的代码（如 pull_request_target 事件）时，能够有效发现因缓存机制设计不当引发的安全隐患。
该审计工具的核心目标是帮助开发者避免因缓存键设计不合理、恢复键范围过宽或意外缓存敏感路径而导致的严重安全问题。例如，当工作流在不受信任的事件触发下运行且缓存未正确隔离时，攻击者可能通过精心构造的请求污染缓存内容，进而影响下游构建过程。此外，若缓存路径包含 `.ssh`、`.aws` 等目录，则可能将私钥或凭证信息持久化到缓存中，造成凭据泄露风险。
工具支持灵活的输出格式选择，包括人类可读的文本报告和结构化的 JSON 输出，便于集成到自动化安全检查流程中。用户可通过设置阈值参数（如 WARN_SCORE 和 CRITICAL_SCORE）自定义风险等级判断标准，并可选启用失败阻断模式（FAIL_ON_CRITICAL=1），使高风险工作流无法通过审计。整体而言，这是一个轻量级但高效的 DevSecOps 辅助工具，旨在从源头加固 GitHub Actions 的缓存安全实践。
核心功能特点
- 检测 `actions/cache` 在不受信任触发器（如 `pull_request_target`）下的使用风险
- 识别未使用 `hashFiles(…)` 的缓存键，防止缓存污染和过期问题
- 检查恢复键（restore-keys）前缀是否过于宽泛，导致缓存命中率下降或安全风险
- 扫描缓存路径中是否误包含敏感目录（如 `.aws`, `.ssh`, `.npmrc`, `.git`），避免凭据泄露
- 警告使用浮动标签（如 `@main`, `@master`）的缓存动作引用，建议锁定具体版本
- 支持文本与 JSON 双输出模式，并可集成至自动化安全门禁流程
适用场景
该工具最适合应用于依赖 GitHub Actions 作为主要 CI/CD 平台的开源项目或企业内网部署场景。对于接收大量外部 Pull Request 的项目，使用 `pull_request_target` 事件时必须格外谨慎，因为此类事件会在目标分支上下文中执行，若此时启用缓存而未做充分隔离，极易成为攻击入口。通过本工具可提前发现此类配置漏洞，避免恶意 PR 利用缓存机制注入有害内容或窃取敏感数据。
在企业级项目中，多个团队共用同一仓库或共享缓存资源时，缓存污染可能导致构建结果不一致甚至供应链攻击。例如，一个团队的恶意提交可能污染公共缓存，影响其他团队的正常构建。借助此审计工具，可在代码合并前自动检查所有工作流文件的缓存策略，确保其符合最小权限原则和安全最佳实践。同时，结合 CI 系统中的门禁规则（如 FAIL_ON_CRITICAL=1），可将高风险配置直接阻断，强制修复后方可继续流程。
此外，对于刚迁移至 GitHub Actions 的新项目或正在进行安全加固的老项目，该工具提供了一套标准化的缓存安全检查清单，帮助团队快速识别常见误区。无论是个人开发者还是大型组织，都能通过定期运行此审计，持续监控并改善其自动化构建环境的安全性，从而降低因缓存管理不善带来的运营风险和合规隐患。