技能 when-automating-github-actions-use-workflow-automation
📦
when-automating-github-actions-use-workflow-automation
内容修订 r1 高风险 ⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量
安全地自动化 GitHub Actions 工作流
GitHub Actions 工作流可能会变得缓慢、脆弱且难以保护。此技能指导 Claude、Codex 和 Claude Code 进行结构化的 CI/CD 设计、调优和审查。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "when-automating-github-actions-use-workflow-automation" from https://skillstore.io/skills/dnyoussef-when-automating-github-actions-use-workflow-automation.md and its manifest at https://skillstore.io/api/skills/dnyoussef-when-automating-github-actions-use-workflow-automation/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“when-automating-github-actions-use-workflow-automation”。 一个 Node.js 项目需要在 pull requests 和推送到 main 时运行 CI。
预期结果:
一个包含 checkout、setup、依赖缓存、linting、测试、构建和最小 token 权限的工作流计划。
正在使用“when-automating-github-actions-use-workflow-automation”。 一个工作流很慢，因为测试和构建按顺序运行。
预期结果:
一份性能审查，将独立作业分离，添加缓存键，并将运行限制在相关路径变更上。
正在使用“when-automating-github-actions-use-workflow-automation”。 一个部署工作流使用宽泛的 token 权限和未固定的 actions。
预期结果:
一份安全审查，缩小权限范围，将 actions 固定到可信修订版本，并添加审批控制。
安全审计
高风险v8 • 2026/7/6 打开版本化报告
Most static hits are Markdown fences, inline backticks, or documentation references rather than hidden executable code. I found two contextual risks: mutable npx package execution and a debug example that logs all environment variables. No prompt injection text was found in the reviewed files.
2
已扫描文件
862
分析行数
0
复核项
0
已忽略误报
已确认安全问题 (2)
高
Unpinned npx Package Execution
The skill tells users to run npx claude-flow@alpha. A mutable prerelease package can change without review and execute local code.
The file directly instructs npx execution with the mutable @alpha tag. This is legitimate tooling, but it is a clear supply-chain risk.
中
Debug Step Logs Environment Variables
The debug workflow includes env | sort. This can expose CI variables or unmasked secrets in workflow logs.
The command is shown in a workflow debug step and would print the runner environment. GitHub masks known secrets, but unmasked sensitive values may leak.
风险因素
⚙️ 外部命令 (94)
SKILL.md:35-38 SKILL.md:38-42 SKILL.md:42-44 SKILL.md:44-46 SKILL.md:46-48 SKILL.md:48-50 SKILL.md:50-62 SKILL.md:62-72 SKILL.md:72-76 SKILL.md:76-91 SKILL.md:91-95 SKILL.md:95-109 SKILL.md:109-117 SKILL.md:117-131 SKILL.md:131-135 SKILL.md:135-149 SKILL.md:149-153 SKILL.md:153-168 SKILL.md:168-172 SKILL.md:172-186 SKILL.md:186-190 SKILL.md:190-204 SKILL.md:204-210 SKILL.md:210-223 SKILL.md:223-227 SKILL.md:227-236 SKILL.md:236-240 SKILL.md:240-256 SKILL.md:256-260 SKILL.md:260-273 SKILL.md:273-283 SKILL.md:283-290 SKILL.md:290-294 SKILL.md:294-308 SKILL.md:308-314 SKILL.md:314-327 SKILL.md:327-331 SKILL.md:331-345 SKILL.md:345-349 SKILL.md:349-362 SKILL.md:362-366 SKILL.md:366-379 SKILL.md:379-385 SKILL.md:385-391 SKILL.md:391-401 SKILL.md:401-408 SKILL.md:408-412 SKILL.md:412-425 SKILL.md:425-431 SKILL.md:431-437 SKILL.md:437-441 SKILL.md:441-455 SKILL.md:455-464 SKILL.md:464-472 SKILL.md:472-475 SKILL.md:475-480 SKILL.md:480-483 SKILL.md:483-487 SKILL.md:487-491 SKILL.md:491-502 SKILL.md:502-508 SKILL.md:508-526 SKILL.md:526-530 SKILL.md:530-550 SKILL.md:550-553 SKILL.md:553-561 SKILL.md:561-567 SKILL.md:567-584 SKILL.md:584-588 SKILL.md:588-596 SKILL.md:596-602 SKILL.md:602-609 SKILL.md:609-613 SKILL.md:613-619 SKILL.md:619-623 SKILL.md:623 SKILL.md:625-629 SKILL.md:629-641 SKILL.md:641-649 SKILL.md:649-653 SKILL.md:653-654 SKILL.md:654-655 SKILL.md:655-656 SKILL.md:656-657 SKILL.md:657-658 SKILL.md:658-659 SKILL.md:659-660 SKILL.md:660-661 SKILL.md:661-662 SKILL.md:662-663 SKILL.md:663-664 SKILL.md:446 SKILL.md:447 SKILL.md:441-455
🌐 网络访问 (1)
📁 文件系统访问 (7)
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/dnyoussef-when-automating-github-actions-use-workflow-automation/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/dnyoussef-when-automating-github-actions-use-workflow-automation?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/dnyoussef-when-automating-github-actions-use-workflow-automation?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dnyoussef-when-automating-github-actions-use-workflow-automation/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/dnyoussef-when-automating-github-actions-use-workflow-automation.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
DNYoussef. (2026). when-automating-github-actions-use-workflow-automation security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/dnyoussef-when-automating-github-actions-use-workflow-automation/audits/8BibTeX 引用
@techreport{dnyoussef-dnyoussef-when-automating-github-actions-use-workflow-automation-2026,
author = {DNYoussef},
title = {when-automating-github-actions-use-workflow-automation security audit report (audit version 8)},
institution = {Skillstore},
year = {2026},
number = {8},
url = {https://skillstore.io/skills/dnyoussef-when-automating-github-actions-use-workflow-automation/audits/8},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "when-automating-github-actions-use-workflow-automation security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
- name: "DNYoussef"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/dnyoussef-when-automating-github-actions-use-workflow-automation/audits/8"
identifiers:
- type: other
value: "skillstore:dnyoussef-when-automating-github-actions-use-workflow-automation:audit:8"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 55
架构
85
可维护性
87
内容
71
社区
78
规范符合性
你能构建什么
创建新的 CI 流水线
设计包含 linting、测试、构建、安全扫描和部署门禁的 GitHub Actions 工作流。
改进缓慢的工作流
审查执行指标，并添加缓存、路径过滤器和并行作业以缩短运行时间。
强化工作流安全
在生产使用前审查 token 权限、action 固定、secrets 处理和扫描覆盖范围。
试试这些提示
起草基本 CI 工作流
为此仓库创建一个 GitHub Actions CI 工作流。包括触发器、依赖安装、测试和构建作业。
添加矩阵测试
更新我的工作流计划，以测试多个操作系统和运行时版本。解释矩阵选择和预期成本。
优化现有工作流速度
审查此工作流并识别缓慢步骤。推荐缓存、并行化和路径过滤器，并说明清晰的权衡。
审计部署工作流
审计此部署工作流的 token 范围、action 固定、secret 暴露、审批门禁、回滚和供应链风险。
最佳实践
- 在提交到仓库之前审查每个生成的工作流。
- 使用最小权限，并将第三方 actions 固定到已审查的修订版本。
- 在合并到 main 之前，先在 feature branch 上测试工作流变更。
避免
- 不要在未审查来源和版本的情况下运行外部包或脚本。
- 不要在工作流日志中打印完整的环境变量或 secrets。
- 当作业只需要读取访问权限时，不要授予宽泛的仓库权限。
常见问题
此技能会自动创建工作流文件吗？
它提供结构化指导和示例。文件创建仍取决于 AI 工具和用户批准。
它能优化现有的 GitHub Actions 工作流吗？
可以。它指导分析运行历史、缓存使用情况、作业依赖关系和路径过滤器。
它支持部署工作流吗？
可以。它涵盖部署作业、审批、回滚计划和状态检查。
运行显示的每条命令都安全吗？
不可以。执行前请审查外部包、脚本、凭据和写入操作。
哪些 AI 工具可以使用此技能？
报告列出了对 Claude、Codex 和 Claude Code 的支持。
它推荐哪些安全实践？
它建议使用最小 token 权限、固定版本的第三方 actions、secrets 管理和安全扫描。
开发者详情
作者
DNYoussef许可证
MIT
Skillstore 修订
r1
版本提示
作者未声明版本。
引用
72d5025b022c77f7a51bdf5c1637c689c80e89d1
维护新鲜度
2026/7/22
使用量
5 次下载 · 291 次浏览
文件结构