相关疑难解决方法(0)

我有一项将上下文上传到其他网站的操作工作。令牌已设置并存储在secret.MY_TOKEN.

但发出拉取请求的其他人也会使用我设置的令牌触发此操作作业。

如何限制执行作业的权限，只有我可以运行此操作作业。

仅供参考，我的ci.yml如下：

name: foobar

on: [push, pull_request]

jobs:

  upload:
    runs-on: ubuntu-latest

    steps:
    ....

    - name: execute upload
      env:
        TOKEN: ${{ secrets.MYTOKEN }}
      run:
        upl --token ${TOKEN}

我认为这里存在两个安全问题。

1. 该令牌打印在日志文件中。
2. 其他人可以根据自己的目的通过触发操作来使用此私有令牌。