dsh-ci-guard

GitHub Actions 工作流往往是攻击者进入构建与发布链路的首选入口：一条 uses: some-action@main、过宽的 permissions，或可被外部输入触发的脚本，都可能在你毫无察觉时把 secrets 和执行环境交给别人。dsh-ci-guard 面向这类「配置层面的供应链风险」，用几分钟扫一遍仓库里的 workflow，把容易被利用的写法标出来，而不是等到 CI 真在恶意代码下跑完才后悔。

插件按严重程度分级提示：高风险包括 Action 未锁定到完整 commit SHA、permissions 设为 write-all、可能泄露 secrets 的写法以及脚本注入模式；中风险会标出 pull_request_target 等需要结合业务上下文人工判断的场景；低风险则覆盖未显式声明 permissions 等硬化缺口。每条判据都对应 GitHub 官方与 Security Lab 的硬化建议，方便你对照文档改配置，而不是背一套黑盒规则。

它通过正则匹配 workflow YAML 做快速检查，不替代完整的 YAML 解析与渗透测试；写法很怪或多文档 YAML 可能漏报，且只覆盖 GitHub Actions，不包含 GitLab CI 或 Jenkins。适合维护开源或内部仓库的 DevOps、平台与安全工程师，以及需要在合并前做「流水线自检」的团队；pull_request_target 等项仍需你结合 PR 来源与权限模型做最终判断。