{"meta":{"title":"工作流执行保护机制","intro":"使用工作流执行保护可以控制谁可以触发 GitHub Actions 工作流，以及允许哪些事件在整个组织中运行它们。","product":"组织","breadcrumbs":[{"href":"/zh/organizations","title":"组织"},{"href":"/zh/organizations/managing-organization-settings","title":"管理组织设置"},{"href":"/zh/organizations/managing-organization-settings/actions-policies","title":"操作策略"},{"href":"/zh/organizations/managing-organization-settings/actions-policies/workflow-execution-protections","title":"工作流执行保护机制"}],"documentType":"article"},"body":"# 工作流执行保护机制\n\n使用工作流执行保护可以控制谁可以触发 GitHub Actions 工作流，以及允许哪些事件在整个组织中运行它们。\n\n> \\[!NOTE]\n> 工作流执行保护位于 公开预览 且可能会更改。\n\n## 关于工作流执行保护机制\n\n使用工作流执行保护可以定义允许列表，该列表控制谁可以触发 GitHub Actions 工作流以及允许哪些事件运行它们。 以前，工作流根据触发它的提交中的工作流文件运行，具有存储库访问权限的攻击者可以修改该文件以运行恶意代码。 工作流执行保护会缩小这一差距。 管理员定义规则，并在 GitHub Actions 工作流运行之前对其进行评估，因此未经授权的执行组件或事件永远不会达到执行。\n\n企业、组织和存储库级别提供工作流执行保护。\n\n## 由规则集提供支持\n\n工作流执行保护基于 GitHub 规则集框架构建，因此你从规则集中已知道的目标也适用于此处。 可以使用规则集应用保护，并使用存储库自定义属性将其限定为特定存储库。 这意味着你可以从一个位置强制实施广泛的保护，而不是单独配置每个工作流文件。 有关规则集的详细信息，请参阅 [关于规则集](/zh/repositories/configuring-branches-and-merges-in-your-repository/managing-rulesets/about-rulesets)。\n\n还可以使用评估模式运行规则，而无需强制执行这些规则。 评估模式显示规则在强制实施之前会阻止的确切内容，以便无需中断现有工作流即可推出策略。\n\n## 可用规则\n\n事件和参与者是前两个规则，并 GitHub 计划随着时间的推移添加更多规则。\n\n* **执行组件规则**控制谁可以触发工作流，包括单个用户、存储库角色，如读取、维护和管理员、GitHub AppsCopilot以及Dependabot。\n* **事件规则**控制允许的事件，例如`push`，`pull_request``pull_request_target`和`workflow_dispatch`。\n\n默认情况下，对存储库具有写入访问权限的每个用户都可以触发工作流。 执行组件规则允许将参与代码的人员与运行 CI 的人员分开，以便你可以授予参与者写入访问权限，而无需授予他们执行工作流的能力。\n\n## 停止常见攻击者技术\n\n工作流执行保护会中断多个实际攻击模式：\n\n* **由拉取请求触发的受污染管道执行。** 限制或禁止 `pull_request_target`，包括在最常被利用的公共存储库中。\n* **手动触发滥用。** 将 `workflow_dispatch` 限制为仅维护者可用，这样不受信任的身份就无法启动工作流。\n* **非信任方执行。** 完全阻止低信任身份触发工作流。\n* **配置不当。** 应用覆盖任何单个配置错误工作流文件的中央策略。\n\n## 配置工作流执行保护\n\n你可以在你的 GitHub Actions 设置中的新 **策略** 部分配置工作流执行保护。 此 **策略** 部分与现有的 **常规** 设置分开。\n\n1. 在 GitHub 的右上角，单击个人资料图片，然后单击“ Your organizations”\\*\\*\\*\\*。\n2. 单击以选择一个组织。\n3. 在组织名称下，单击 “Settings”\\*\\*\\*\\*。 如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”\\*\\*\\*\\*\\*\\*\\*\\*。\n\n \n4. 在左侧边栏中的 **“操作**”下，单击“ **策略**”。\n5. 创建规则集，然后添加事件规则和参与者规则。\n6. 选择规则集是活动还是处于评估模式，然后保存更改。"}