Open2
OSSにおけるセキュリティ対策チェックリスト (自分用)
ふぁぼんGitHub Actionsの中でactionをコミットハッシュで指定
実際にはpinactやRenovateなどを使ってやっていくと良さそう。
Enforce SHA Pinningもセットで使える。
ふぁぼんtrusted publishing
npmやjsr、rubygemsなどのパッケージレジストリではsecretからトークンを取得せずにOIDC経由のトークンでpushできる。APIトークンの権限設定や漏洩対策といった面倒なことを気にしなくてよくなるので、対応レジストリでは絶対にオンにするべき。
設定の"Require two-factor authentication and disallow tokens"もオンにしておく。