前言¶

GitHub Actions 工作流是供應鏈攻擊的主要入口。開發者常因配置疏忽引入風險，例如使用未鎖定的 Action 版本、賦予過寬的權限或在腳本中輸出敏感信息。dsh-ci-guard 是一個用於掃描 GitHub Actions 工作流的檢查工具，旨在找出這些可被利用的配置，幫助修復潛在的安全漏洞。

插件定位¶

該插件由 feely0208 維護，屬於 admin-security 分類。其核心價值在於通過自動化檢查，輔助開發者識別工作流中的安全配置缺陷。

核心功能¶

該插件主要執行以下檢查：

• 檢查 Action 未鎖版本
• 檢查權限過寬
• 檢查腳本注入
• 檢查 echo secrets
• 列出規則和依據

安裝與啓用¶

安裝命令如下：

dsh plugin --profile web add @deepwhale-cn/dsh-ci-guard

或直接使用 CLI 運行：

npx @deepwhale-cn/dsh-ci-guard

典型用法¶

安裝完成後，可通過以下命令使用：

dsh-ci-guard                 # 掃描當前目錄
dsh-ci-guard --demo          # 查看檢出效果
dsh-ci-guard --list-rules    # 列出規則和依據
dsh-ci-guard --html r.html   # 生成 HTML 報告

侷限性與注意¶

使用時需注意以下事項：

• 解析方式：插件使用正則匹配 YAML，並非真正的解析器。如果 YAML 寫法奇特（如包含錨點或多文檔），可能會漏檢。
• 覆蓋範圍：僅覆蓋 GitHub Actions，不包含 GitLab CI / Jenkins。
• 人工判斷：pull_request_target 單獨出現不一定構成危險，需結合上下文人工判斷。
• 法律責任：使用者必須遵守所在地區法律法規，對使用本項目造成的任何後果自行承擔責任。

結尾¶

該工具適合需要在 DeepSeek Harness 環境中管理 CI/CD 安全風險的開發者。更多插件可查閱 DSH 插件目錄 或訪問 GitHub 倉庫。