Actions 收紧 pull_request_target 默认值 RSS

GitHub 调整了 Actions 里 pull_request_target 触发时检出代码的默认行为。这个触发器带着仓库写权限运行，一旦顺手检出外部 PR 的代码，发布令牌、包仓库凭据和云密钥就可能落到外部贡献者手里，是经典的配置陷阱，平台改默认值比逐个项目打补丁影响面大得多。用到 pull_request_target、workflow_run 或自托管 runner 的仓库仍应自查。

发布于 2026-09-10T10:59:43.679347Z · GitHub · GitHub Changelog

CI 供应链 安全

GitHub 调整了 Actions 里 pull_request_target 触发时检出代码的默认行为。这个触发器带着仓库写权限运行，一旦顺手检出外部 PR 的代码，发布令牌、包仓库凭据和云密钥就可能落到外部贡献者手里，是经典的配置陷阱，平台改默认值比逐个项目打补丁影响面大得多。用到 pull_request_target、workflow_run 或自托管 runner 的仓库仍应自查。

GitHub 调整了 Actions 里 pull_request_target 触发时检出代码的默认行为。这个触发器带着仓库写权限运行，一旦顺手检出外部 PR 的代码，发布令牌、包仓库凭据和云密钥就可能落到外部贡献者手里，是经典的配置陷阱，平台改默认值比逐个项目打补丁影响面大得多。用到 pull_request_target、workflow_run 或自托管 runner 的仓库仍应自查。

原始来源 ↗

来源记录

• center.info_item · fc98039fdda1d1c6 · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · fc98039fdda1d1c6 · 2026-10-03T04:08:55.967155Z