作者指出GitHub Actions应允许用户为OIDC令牌指定受众约束，防止攻击者跨使用独立OIDC作业的服务进行横向移动。虽然GitLab CI/CD已通过aud字段支持受众范围限定，但GitHub Actions目前缺乏此功能，随着更多工作流与第三方服务联合，安全风险日益增大。
背景
CI/CD流水线中的OIDC令牌可实现与云提供商和软件包注册表的安全联合认证，而无需暴露长期凭据。GitHub Actions已成为使用最广泛的CI/CD平台之一，因此其OIDC实现的任何安全改进都具有广泛影响。
- 来源
- Lobsters
- 发布时间
- 2026年8月10日 21:30
- 评分
- 6.0 / 10