GitHub Actions Workflow Hardening Audit 是一个专门用于静态审计 GitHub Actions 工作流文件安全加固缺陷的工具。它能够在代码进入生产环境之前，自动检测工作流配置中的潜在风险点，帮助开发团队提前发现并修复安全隐患。该工具通过扫描 `.github/workflows/*.yml` 文件，对工作流的整体安全状态进行评分和分类，从而为 CI/CD 流水线提供可靠的安全保障。 该技能的核心目标是防止因默认配置不当导致的安全漏洞在生产环境中暴露。它能够识别多种常见的安全疏漏，例如缺少超时控制、权限声明缺失、并发执行未受限制，以及使用了不稳定的 Action 版本引用。这些问题是许多组织在快速迭代过程中容易忽视的关键风险点。通过自动化检测，该工具显著提升了工作流配置的规范性和安全性，降低了人为失误的可能性。 除了基础检测外，该工具还支持灵活的过滤机制，允许用户根据文件路径、触发事件等条件精准定位需要审查的工作流。同时，它提供了文本和 JSON 两种输出格式，便于集成到不同的 DevOps 流程中。无论是小型项目还是大型单体仓库，都能通过合理的参数配置实现高效的安全审计。
核心功能特点
- 自动扫描工作流 YAML 文件并生成安全风险评分
- 检测缺失的 timeout-minutes 超时设置
- 识别未声明 workflow-level 或 job-level 权限配置
- 可选检测缺失的 concurrency 并发控制机制
- 标记使用浮动版本引用的 Action（如 @main、@latest）
- 支持基于文件路径和触发事件的正则过滤
适用场景
该工具特别适合在 CI/CD 流程的早期阶段集成，用于在合并请求（PR）被批准前对工作流配置进行强制安全检查。对于采用 GitHub Actions 作为主要构建和部署平台的团队而言，这是一个不可或缺的防护环节。通过在自动化流水线中加入此审计步骤，可以有效拦截那些因配置疏忽而引入的高危工作流。 在大型单体仓库或多项目组织中，往往存在大量工作流文件，人工逐一检查不仅耗时且容易遗漏。此时，利用 WORKFLOW_FILE_MATCH 和 EVENT_EXCLUDE 等过滤参数，可以精准聚焦于关键路径上的工作流，比如仅审查 pull_request_target 类型的事件，从而提升审计效率。这种细粒度控制使得该工具在复杂工程环境中极具实用性。 此外，该工具还可用于新项目的模板初始化阶段，确保所有新建的工作流都遵循统一的安全基线。结合 FAIL_ON_CRITICAL=1 参数，还能将严重安全问题直接阻断在 CI 关卡之外，强制要求开发者修复后才能继续后续流程。这种“左移安全”的实践方式，有助于建立持续的安全文化，降低生产事故的发生概率。