신뢰할 수 없는 트리거의 Actions 캐시 읽기 전용화
외부에서 유발될 수 있는 GitHub Actions 워크플로에 기본 브랜치 캐시 토큰을 읽기 전용으로 제공합니다.
교안에 영향
기본 브랜치 SHA 범위에서 캐시에 쓰던 일부 untrusted 워크플로 안내는 더 이상 그대로 맞지 않습니다.
요약
- pull_request_target, issue_comment, fork-pull-request workflow_run 계열의 신뢰할 수 없는 워크플로에 기본 브랜치 캐시 토큰을 읽기 전용으로 발급합니다. - push, schedule, workflow_dispatch, repository_dispatch, delete, registry_package, page_build는 기존처럼 읽기-쓰기 캐시 권한을 유지합니다. - pull_request와 release처럼 기본 브랜치가 아닌 범위를 쓰는 트리거도 읽기-쓰기 캐시 권한을 유지합니다. - 읽기 전용으로 제한된 워크플로는 저장이 실패해도 경고만 남기고 계속 실행되며, 복원은 영향받지 않습니다.
바뀐 것
수정
- GitHub Actions가 기본 브랜치에서 실행되는 신뢰할 수 없는 트리거에 읽기 전용 캐시 토큰을 발급하도록 바뀌었습니다.
- 이 변경은 pull_request_target, issue_comment, fork-pull-request workflow_run 같은 이벤트를 통해 생길 수 있는 캐시 오염 경로를 막습니다.
- push, schedule, workflow_dispatch, repository_dispatch, delete, registry_package, page_build는 읽기-쓰기 캐시 권한을 그대로 유지합니다.
- pull_request와 release처럼 기본 브랜치가 아닌 범위를 쓰는 트리거도 읽기-쓰기 캐시 권한을 유지합니다.
- 읽기 전용으로 제한된 워크플로에서는 actions/cache가 경고를 남기고 저장을 건너뛰며, 복원은 그대로 동작합니다.