Astral 揭秘开源安全防护：如何构建坚不可摧的 CI/CD 流水线

针对近期频发的软件供应链攻击（如 LiteLLM 事件），知名开发工具厂商 Astral（Ruff 和 uv 的制造者）公开了其内部严格的安全防护策略。文章详细剖析了 GitHub Actions 的安全隐患，指出其默认配置的不足，并分享了具体的最佳实践：禁用高风险触发器（如 pull_request_target）、强制要求所有 Action 固定到 Commit SHA、限制工作流权限以及使用部署环境隔离密钥。此外，Astral 推崇使用 GitHub App 替代部分 CI 功能，在发布环节采用 OIDC 可信发布与 Sigstore 签名验证，并强调对依赖项的严格管理。这篇文章为维护者和企业提供了构建高安全性开源项目的一手指南。