能否修改GitHub Marketplace中Action版本？标签移动的安全问询

嘿，这个问题问到点子上了——毕竟Action的安全性直接影响到所有使用它的工作流，我来给你详细拆解：

1. 能否修改GitHub Marketplace中的Action版本？ #

Action在Marketplace里的版本完全和对应仓库的Git标签（tags）绑定。所以“修改Marketplace里的版本”本质上就是修改仓库里的标签，从技术上来说是可行的，但这绝对不是推荐的做法，甚至会带来严重安全问题。

2. 能不能把已发布版本对应的tag移到另一个commit？ #

技术上可以做到——Git本身允许你删除已有标签，然后在新的commit上重新创建同名标签（比如执行git tag -d v1.0.0再git push origin :v1.0.0，之后在新commit上打git tag v1.0.0并推送）。但这么做的风险极大：

• 很多用户的工作流会固定引用类似v1.0.0这样的版本标签，一旦你移动了标签，他们的工作流会毫无察觉地执行完全不同的代码，可能引入恶意逻辑、破坏原有功能，这是典型的“供应链攻击”手段。
• 这种行为违反了开源社区的信任原则，也可能违反GitHub的服务条款（如果是恶意操作的话）。

3. 如何规避这个安全风险？ #

最稳妥的方式是：

• 直接使用Action的commit SHA值来引用，SHA是不可变的，无论作者怎么修改标签，你执行的代码都是固定的那个commit。比如：

  uses: owner/action-name@a1b2c3d4e5f6g7h8i9j0
  

• 如果你偏好版本号，选择语义化的固定版本标签（比如v1.2.3），而不是可变的分支标签或主版本标签（比如v1或main）。负责任的Action作者不会修改已发布的固定版本标签，只会发布新的版本号。

作为Action作者，也一定要遵守最佳实践：绝不修改已发布的稳定版本标签，更新功能或修复bug时，发布新的版本标签即可。

内容的提问来源于stack exchange，提问作者Noam