工具链要点63 条

GitHub Actions 权限声明

为工作流显式声明最小权限：permissions 可全局或按作业设置；OIDC 等能力需要单独开启（如 id-token: write）。

CI/CD 与发布速查开发更新于 2026-10-12

写法	permissions: {contents: read}
作业级	jobs.<id>.permissions 覆盖全局
方向	默认收敛为只读，按需提升
OIDC	需要 id-token: write

最小权限 + OIDC

permissions:
  contents: read
jobs:
  deploy:
    permissions:
      contents: read
      id-token: write
    runs-on: ubuntu-latest
    steps:
      - run: echo "oidc ready"

默认权限受组织与仓库设置影响：不要依赖默认值，显式声明最稳妥。

易错点

忘记 id-token: write：OIDC 获取令牌失败且报错含糊
给 write-all：第三方动作被入侵时影响面扩大

数据来源与参考

GitHub Docs《Security hardening for GitHub Actions》

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌