GitHub Actions 워크플로 실행 보호 기능
GitHub Actions의 워크플로 실행 보호가 정식 제공되며, 워크플로 파일 단위 정책과 Insights, REST API가 추가됐다.
교안에 영향
공개 저장소에서 pull_request_target를 쓰던 기존 안내 글은 기본 차단으로 인해 더 이상 그대로 맞지 않을 수 있다.
요약
- Workflow execution protections가 public preview에서 벗어나 GitHub Enterprise, 조직, 저장소에서 정식 제공된다. - Workflow file targeting으로 저장소 전체가 아니라 특정 workflow 파일에만 execution protection rules를 적용할 수 있다. - Insights로 규칙이 어떻게 평가·적용되는지 확인해 정책 영향을 감사하고 조정할 수 있다. - REST API로 enterprise, organization, repository 수준의 execution protections를 생성·조회·수정·삭제할 수 있다. - 공개 저장소의 기본 보호 규칙으로 pull_request_target 사용이 기본 차단되며, 기존 예외는 평가 모드로 먼저 확인할 수 있다.
바뀐 것
개선
- evaluate mode를 계속 제공해 실제 적용 전 차단될 workflow run을 미리 확인할 수 있다.
기타
- Workflow execution protections가 GitHub Enterprise, 조직, 저장소에서 일반 제공된다.
- Workflow file targeting으로 execution protection rules를 특정 workflow 파일에만 적용할 수 있다.
- Insights로 규칙의 평가와 적용 결과를 확인할 수 있다.
- REST API로 enterprise, organization, repository 수준의 execution protections를 관리할 수 있다.
- 공개 저장소에 기본 보호 규칙을 도입해 pull_request_target 이벤트를 기본적으로 비활성화한다.
- default pull_request_target 정책을 사용하던 일부 저장소는 2026-11-02부터 자동으로 강제 적용된다.