在GitHub Runner上手动安装Skaffold等工具是否存在弊端？

你的手动安装方式本身完全可行，目前运行正常也说明基础流程没问题，但有几个容易忽略的点需要留意：

• 版本一致性风险：你当前使用latest版本，每次工作流运行都会拉取最新的Skaffold二进制包。如果Skaffold新版本引入不兼容变更，可能导致之前正常的工作流突然失败。建议指定具体版本号，比如把下载链接改成https://storage.googleapis.com/skaffold/releases/v2.10.1/skaffold-linux-amd64，确保每次运行使用固定版本。

• 文件完整性校验：直接通过curl下载没有校验步骤，存在文件被篡改或下载损坏的风险。可以加上SHA256校验，比如先下载对应版本的校验文件，再对比本地文件哈希值：

  - name: Install Skaffold
    run: |
      SKAFFOLD_VERSION="v2.10.1"
      curl -Lo skaffold https://storage.googleapis.com/skaffold/releases/${SKAFFOLD_VERSION}/skaffold-linux-amd64
      curl -Lo skaffold.sha256 https://storage.googleapis.com/skaffold/releases/${SKAFFOLD_VERSION}/skaffold-linux-amd64.sha256
      sha256sum --check skaffold.sha256
      sudo install skaffold /usr/local/bin/
  

• 依赖工具的完整性：Skaffold运行（尤其是skaffold test或部署类命令）依赖kubectl、Docker等工具。虽然ubuntu-20-04 runner默认包含部分工具，但如果你的工作流需要minikube和helm，也要确保它们的安装步骤完整——比如minikube需要配置驱动（如docker驱动），helm需要完成初始化等，这些步骤不能遗漏。

• 工作流效率优化：每次重新下载安装会增加工作流运行时间。可以用actions/cache缓存Skaffold二进制文件，下次运行直接复用：

  - name: Cache Skaffold
    id: cache-skaffold
    uses: actions/cache@v3
    with:
      path: /usr/local/bin/skaffold
      key: ${{ runner.os }}-skaffold-v2.10.1
  
  - name: Install Skaffold
    if: steps.cache-skaffold.outputs.cache-hit != 'true'
    run: |
      SKAFFOLD_VERSION="v2.10.1"
      curl -Lo skaffold https://storage.googleapis.com/skaffold/releases/${SKAFFOLD_VERSION}/skaffold-linux-amd64
      curl -Lo skaffold.sha256 https://storage.googleapis.com/skaffold/releases/${SKAFFOLD_VERSION}/skaffold-linux-amd64.sha256
      sha256sum --check skaffold.sha256
      sudo install skaffold /usr/local/bin/
  

总的来说，手动安装的灵活性更高，能完全控制安装过程和版本，适合官方Action无法满足需求的场景，只要注意上面几个点就不会有大问题。

内容的提问来源于stack exchange，提问作者yisog