GitHub Actions OIDC 强化审计工具是一款专为云原生 CI/CD 工作流设计的静态安全检测脚本，旨在识别 GitHub Actions 中常见的身份认证配置风险。该工具通过扫描项目中的 workflow YAML 文件，自动发现可能引发密钥泄露、权限过度授予或身份伪造等安全事件的危险模式。其核心能力聚焦于识别三大主流云平台（AWS、GCP、Azure）的认证动作使用规范，特别关注 OpenID Connect (OIDC) 身份联合的最佳实践是否得到遵循。当工作流使用了如 `aws-actions/configure-aws-credentials` 或 `google-github-actions/auth` 等云认证 action 时，本工具会严格检查是否同时配置了必要的 `permissions.id-token: write` 权限，这是实现无密钥身份验证的前提条件。此外，它还能敏锐地捕捉到仍在使用静态访问密钥（如 `aws-access-key-id`）或硬编码凭证的工作流，以及引用浮动版本（如 `@main` 或 `@v1`）的认证 action 所带来的一致性与安全性隐患。整个检测过程完全基于本地静态分析，无需接入外部服务，适合集成到开发流水线中作为前置门禁机制。
核心功能特点
- 扫描 GitHub Actions workflow YAML 文件，自动识别 AWS/GCP/Azure 云认证动作的使用情况
- 强制检查 `id-token: write` 权限缺失问题，确保 OIDC 身份联合配置完整
- 检测静态云凭证（如 access key/secret key）的使用，防止敏感信息硬编码
- 识别浮动版本引用（如 @main/@v1）的认证 action，降低供应链攻击风险
- 支持文本与 JSON 两种输出格式，并可配置关键级别阈值进行自动化门禁拦截
适用场景
该工具最适用于 DevSecOps 团队在代码合并前对工作流进行自动化安全检查的场景。对于采用 GitHub Actions 构建持续集成/持续部署（CI/CD）管道的企业而言，工作流中的云认证环节往往是攻击者试图横向移动的关键入口点。例如，一个部署到生产环境的流水线若错误地使用了长期有效的 AWS 访问密钥，一旦被窃取将导致严重的数据泄露事件。而本工具能在提交阶段就拦截此类高危配置，避免将风险带入下游环境。另一个典型应用场景是多云架构下的统一安全治理——当组织同时在 AWS、Google Cloud 和 Azure 上运行服务时，不同平台的认证 action 可能存在异构的安全缺陷。通过定期运行此审计脚本，可以建立跨云平台的标准化安全基线，确保所有工作流都遵循最小权限原则和无密钥认证的最佳实践。此外，对于开源项目维护者或内部共享组件的开发者来说，该工具同样具有价值：它能帮助快速清理社区贡献中引入的不合规认证方式，提升整体生态的安全性。