如何防止Github Actions工作流文件在功能分支中被修改？

1. 用分支保护+代码所有者锁定关键文件 #

• 给main分支配置分支保护规则，要求修改.github/workflows/workflow.yaml必须经过特定团队审批才能合并：
  • 操作路径：仓库「Settings」→「Branches」→「Branch protection rules」，针对main分支开启「Require pull request reviews before merging」，再启用「Require review from Code Owners」。
  • 同时在仓库根目录创建CODEOWNERS文件，添加一行*.github/workflows/ @你的审批团队，这样任何修改该目录下文件的PR，都必须经过指定团队审核才能合并到main分支。

2. 在Workflow中添加分支校验逻辑 #

• 直接在部署流程的开头加入分支检查步骤，就算开发者修改了触发器，非指定分支也无法执行部署：

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - name: 校验分支合法性
        if: github.ref != 'refs/heads/main' && !startsWith(github.ref, 'refs/tags/')
        run: |
          echo "仅允许从main分支或指定标签触发部署"
          exit 1
      # 后续部署步骤

• 只要不是main分支或指定标签，这个步骤会直接终止工作流，杜绝非法部署。

3. 限制Workflow的权限范围 #

• 给Workflow设置最小必要权限，降低密钥泄露风险：在workflow.yaml开头添加权限配置：

permissions:
  contents: read
  deployments: write

• 只授予工作流完成部署所需的权限，就算触发器被修改，也无法获取过高权限。

4. 借助外部服务实现预接收钩子逻辑 #

• GitHub Team计划本身不支持自定义预接收钩子，但可以通过GitHub Apps或第三方CI工具实现类似功能：检查推送的内容中是否修改了.github/workflows/workflow.yaml，如果有则直接拒绝推送。

内容的提问来源于stack exchange，提问作者DeluxeOwl