安全仓库项目常见问题解决方案

安全仓库项目常见问题解决方案

secure-repo Orchestrate GitHub Actions Security 项目地址: https://gitcode.com/gh_mirrors/se/secure-repo

1. 项目基础介绍

项目名称： step-security/secure-repo

项目简介： 这是一个GitHub Actions安全性自动化项目，旨在帮助开源项目自动应用最佳安全实践。项目通过一系列的GitHub Actions来自动化设置和强化GitHub Actions的工作流程安全性。

主要编程语言： Go

2. 新手常见问题及解决步骤

问题一：如何设置minimum GITHUB_TOKEN权限？

问题描述： GITHUB_TOKEN是自动生成的密钥，用于对GitHub API进行认证调用。如果该密钥被泄露，可能会被滥用。新手在使用项目时需要确保GITHUB_TOKEN的权限被最小化。

解决步骤：

1. 在项目的根目录中创建一个.github/workflows文件夹（如果尚未存在）。

2. 在.github/workflows文件夹中创建或编辑一个工作流文件（例如main.yml）。

3. 在工作流文件的顶部添加以下步骤来自动设置minimum GITHUB_TOKEN权限：

   - name: Set minimum permissions for GITHUB_TOKEN
     uses: step-security/secure-repo@v1
     with:
       fix: set-minimum-permissions
   

问题二：如何为每个工作添加Harden-Runner GitHub Action？

问题描述： Harden-Runner GitHub Action用于在GitHub托管的运行器上安装安全代理，防止凭证泄露，监控构建过程，并检测受损的依赖。

解决步骤：

1. 打开或创建一个工作流文件。

2. 在工作流的开始部分添加Harden-Runner步骤，如下所示：

   - name: Harden the runner
     uses: step-security/secure-repo@v1
     with:
       fix: add-harden-runner
   

问题三：如何添加CodeQL工作流？

问题描述： CodeQL是一种静态应用程序安全测试（SAST）工具，它可以分析代码库以识别安全漏洞。

解决步骤：

1. 在.github/workflows目录中创建一个新的工作流文件，例如codeql.yml。

2. 在新创建的工作流文件中添加以下内容：

   name: CodeQL
   
   on: [push]
   
   jobs:
     analyze:
       runs-on: ubuntu-latest
   
       steps:
         - uses: actions/checkout@v2
         - name: Setup CodeQL
           uses: github/codeql-action/setup-codeql@v1
         - name: Perform CodeQL analysis
           uses: github/codeql-action/analyze@v1
   

通过以上步骤，新手可以更好地开始使用step-security/secure-repo项目，并确保其GitHub Actions工作流程的安全性。

secure-repo Orchestrate GitHub Actions Security 项目地址: https://gitcode.com/gh_mirrors/se/secure-repo