Docker und CI/CD · Middle · Frage 42 von 75
Warum pinnt man Actions von Drittanbietern auf einen vollen Commit-SHA statt auf @v3?
- 1Tags funktionieren auf GitHub nach einigen Monaten nicht mehr
- 2Ein Tag lässt sich auf bösartigen Code verschieben; ein SHA nicht
- 3Actions laufen schneller, wenn man sie per SHA referenziert
Antwort zeigen
Richtige Antwort: Ein Tag lässt sich auf bösartigen Code verschieben; ein SHA nicht
Erklärung
Wird das Repository einer Action kompromittiert, kann der Angreifer v3 neu taggen. Pinnen auf einen SHA (den Dependabot aktualisiert) verhindert das.