如何保护github actions自托管运行器？

Question

自托管运行器的文档说明了以下内容 https://docs.github.com/en/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions#hardening-对于自托管运行者 :

因此，自托管运行器几乎不应该用于 GitHub 上的公共存储库，因为任何用户都可以针对存储库打开拉取请求并危害环境。同样，在私有或内部存储库上使用自托管运行器时要小心，因为任何可以分叉存储库并打开拉取请求的人（通常是那些对存储库具有读取访问权限的人）都能够破坏自托管运行器环境，包括获取对机密和 GITHUB_TOKEN 的访问权限，根据其设置，可以授予对存储库的写访问权限。尽管工作流可以通过使用环境和所需的审查来控制对环境机密的访问，但这些工作流不是在隔离的环境中运行，并且在自托管运行器上运行时仍然容易受到相同的风险。

正在 github 存储库上设置以下设置：

足以保护自托管运行者免遭对公共用户存储库的无特权访问？是否应该采取额外的措施？

Answer 1

默认情况下，任何运行者只能访问当前存储库。自托管运行程序的行为相同。如果您直接在工作流程的代码中指定它，则可以授予它更多权限。 请参阅此处了解更多详情。

或者给它一个专门创建的令牌。

此类跑步者的主要问题是所有计算机变量及其整个电子签名都可供公众使用。您的存储库是公开的。

您提供的图片是关于有人分叉您的项目、对其分叉进行更改并尝试为您的项目做出贡献的情况。如果您的工作流程在拉取请求时触发，此选项可以防止任何攻击者向您的跑步者发送垃圾邮件。