如何防止非代码所有者执行PR中修改的GitHub Actions文件？

核心思路 #

要阻止PR提交者通过修改Actions配置文件触发未授权的工作流执行，关键从工作流触发条件和权限管控双维度入手，确保只有经过审核的变更才能触发敏感执行流程。

具体实现方案 #

1. 精准限制工作流触发事件 #

修改.github/workflows/下的工作流配置文件，明确触发规则，避免PR推送时自动执行敏感流程：

• 对于部署类核心工作流，仅允许主分支合并后触发：

on:
  push:
    branches:
      - main  # 仅主分支推送时触发部署
  pull_request:
    types: [closed]  # 可选：仅PR合并完成后触发

• 若需在PR阶段运行检查类工作流（如代码lint），但要避免修改Actions文件后恶意触发，可添加路径过滤：

on:
  pull_request:
    paths-ignore:
      - '.github/workflows/**'  # PR仅修改Actions文件时，不触发该检查工作流

2. 用环境审批拦截未授权执行 #

给部署类工作流绑定GitHub环境，并设置强制审批规则：

1. 仓库「Settings」→「Environments」创建环境（如production）
2. 开启「Required reviewers」，指定需审核的团队或个人
3. 修改工作流文件，将部署步骤关联到该环境：

jobs:
  deploy:
    runs-on: ubuntu-latest
    environment: production  # 绑定到需审批的环境
    steps:
      - name: 拉取代码
        uses: actions/checkout@v4
      # 后续部署步骤

即使工作流被触发，也必须经指定人员审批才能执行部署，无法直接绕过。

3. 配合CODEOWNERS强化前端审核 #

把.github/workflows/目录加入CODEOWNERS文件，确保所有Actions配置修改必须经指定所有者审核：

# CODEOWNERS 文件内容
.github/workflows/ @your-team/action-maintainers

再结合仓库分支保护规则里的「Require pull request reviews before merging」，确保PR未通过审核前无法合并，从源头阻断恶意配置进入主分支。

4. 收紧工作流默认权限 #

在仓库「Settings」→「Actions」→「General」中：

• 设置「Workflow permissions」为「Read repository contents permission only」，限制工作流默认权限，避免恶意工作流获取过高权限执行敏感操作
• 开启「Require approval for all outside collaborators」，防止外部提交者触发未授权工作流

总结 #

通过严格的触发条件配置、环境审批机制、CODEOWNERS审核和权限限制的组合，能有效防止PR提交者通过修改GitHub Actions文件绕过审核，确保只有授权变更才能触发关键工作流执行。

内容的提问来源于stack exchange，提问作者Pascal Delange