Marketplace

수만 개 action, 품질 천차만별

GitHub Actions Marketplace 에 상상 가능한 모든 작업 (caching, deploy, upload, scan, Slack 게시, release note 생성) 용 수만 개 action 이 있어. 좋은 소식: 직접 짤 일 거의 없음. 나쁜 소식: 누구나 게시 가능, 그 코드를 아빠 runner 에서 아빠 secret 들고 돌려.

Action vetting 방법

Source repo 활동 — 마지막 commit 최근? Issue 응답?
Stars / users / 'used by' — 커뮤니티 신뢰의 강한 신호.
Maintainer — 공식 org (actions/, docker/, aws-actions/, azure/) 가 가장 안전. 개인 계정은 더 검토.
Verified creator 배지 — GitHub 의 가벼운 vetting.
어떤 권한 필요? GITHUB_TOKEN 요구? 소스 읽어.
SHA pin. 항상. 신뢰하는 publisher 도.

반복해 쓸 카테고리

actions/checkout — repo clone (모든 workflow).
actions/setup-* — Python / Node / Java / Go 설치.
actions/cache — 범용 caching.
actions/upload-artifact + actions/download-artifact.
docker/login-action, docker/build-push-action.
aws-actions/configure-aws-credentials (OIDC).
peaceiris/actions-gh-pages — GitHub Pages deploy.

Code

Action 하나 audit — uses: ref 당 bash 한 줄·bash

# Look up where actions/checkout@v4 actually points right now
gh api repos/actions/checkout/git/refs/tags/v4 --jq .object.sha
# returns the current SHA the v4 tag points at

# Pin yourself by replacing v4 with that exact SHA
# After:  uses: actions/checkout@<that-sha>

수만 개 action, 품질 천차만별

Action vetting 방법

반복해 쓸 카테고리

Code

External links

Exercise

Progress

댓글 0