github - github runners 对私人仓库中的操作是否安全

Question

我对 Github Actions 及其运行程序的工作方式不太熟悉，但我的 Devops 团队坚持认为我们不能运行任何需要运行程序的 github 操作，因为运行程序是公开的，这会使我们的代码面临被第三方访问的风险。

我知道可以选择使用托管跑步者，但我们还没有。

寻找任何有经验的开发者可以提供我消除这些谣言的建议/参考

标签： githubcontinuous-integrationdevops

Answer 1

根据文章Link1和Link2，GitHub 公共托管机器比自托管机器更安全。（至少文章声称如此）

以我的经验，对安全性非常挑剔的大型组织总是选择需要单独团队维护的自托管机器。

选择应该完全基于您使用的应用程序类型以及您在存储库中管理安全细节的程度。