action octoscan

Eine GitHub Action, die einen Sicherheitsscan deiner GitHub-Actions durchführt.

Diese Action basiert auf octoscan

• 🤸 Verwendung
• Anpassung
  • inputs
  • outputs
  • Berechtigungen

🤸 Verwendung

Hier ist ein einfaches Beispiel, wie diese Action verwendet wird. Dies funktioniert sowohl für push- als auch für pull_request-Events.

---
name: Octoscan

on:
  workflow_dispatch:
  pull_request:
    paths:
      - '.github/workflows/*'
  push:
    paths:
      - '.github/workflows/*'

permissions:
  security-events: write
  actions: read
  contents: read

jobs:
  octoscan:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - id: octoscan
        name: Run octoscan
        uses: synacktiv/action-octoscan@v1

      - name: Upload SARIF file to GitHub
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: "${{steps.octoscan.outputs.sarif_output}}"
          category: octoscan

Sicherheitsergebnisse können im Tab „Code-Sicherheit“ überprüft werden, wenn du Schreibzugriff auf das Ziel-Repository hast:

Oder direkt im Pull Request:

Anpassung

inputs

Die Inputs basieren auf den Optionen von octoscan, die du hier findest.

Die folgenden sind optional als step.with-Schlüssel:

💡 Es ist nicht möglich, enable_rules und disable_rules gleichzeitig zu verwenden.

outputs

Die folgenden Ausgaben können über ${{ steps.<step-id>.outputs }} von dieser Action abgerufen werden:

Berechtigungen

Diese Action erfordert die folgenden Berechtigungen für das GitHub-Integrationstoken:

permissions:
  security-events: write
  actions: read
  contents: read

security-events wird verwendet, um die Ausgabe von octoscan an GitHub Code Scanning zu übertragen.