Safer pull_request_target defaults for GitHub Actions checkout - GitHub Changelog

GitHub Actionsを使っている開発者の皆さん、ちょっと耳寄りな、いや、むしろ「安心できる」お知らせです。

GitHubが、自動化ツール「GitHub Actions」でプルリクエストを扱う際のセキュリティを強化しました。具体的には、「pull_request_target」というイベントを使ったときのデフォルト設定が、より安全なものに変更されたんです。

「プルリクエスト」というのは、ソフトウェア開発で自分の変更を本流のコードに取り込んでもらうために出す「提案」のようなものです。そして、「GitHub Actions」は、このプルリクエストが作成されたり、更新されたりしたときに、自動でテストを実行したり、コードのチェックをしたりする便利な仕組みです。

これまで、「pull_request_target」イベントを使う場合、少し注意が必要でした。このイベントは、外部からのプルリクエストに対しても、リポジトリ（コードを保管する場所）のコンテキスト、つまり「権限」を持ってActionsを実行してしまいます。これは、悪意のあるプルリクエストが送られてきた場合に、そのActionsが悪用されて、リポジトリ内の秘密情報にアクセスしたり、勝手にコードを書き換えたりするリスクがあった、ということです。

例えるなら、宅配便の荷物を受け取る時に、中身を確認せずに「どうぞ、家の鍵を使って中に入ってください」と言ってしまうようなものでした。もちろん、ほとんどの場合は問題ないのですが、ごく稀に悪意のある配達員がいた場合、大変なことになりますよね。

今回の変更で、GitHubはデフォルトでこの「家の鍵」を渡さないようにしてくれました。具体的には、外部からのプルリクエストに対して「pull_request_target」イベントが発火しても、そのActionsがリポジトリへの書き込み権限や、各種トークン（認証情報）へのアクセス権限をデフォルトでは持たないようになります。これにより、もし悪意のあるコードがプルリクエストに含まれていても、Actionsがそれを実行しても、リポジトリに損害を与えるリスクが大幅に減るわけです。

開発者は、もし特定のActionsでこれらの権限が必要な場合は、明示的に設定を追加する必要があります。つまり、「この宅配便は信用できるから、鍵を渡しても大丈夫」と、自分で判断して許可する形になります。これは、セキュリティと利便性のバランスを考えた、非常に賢明な改善と言えるでしょう。

この変更は、GitHub Actionsをより安全に、そして安心して利用するための大きな一歩です。特に、オープンソースプロジェクトのように不特定多数からのプルリクエストを受け入れる場合、このセキュリティ強化は大きな安心材料となるはずです。