Peta dunia

 

EN

Dunia C4: Perisai Pipeline

Tahap SLSA dan senarai dibenarkan

Anda akan belajar: cara buktikan asal sesuatu binaan, dan cara benarkan action yang dipercayai sahaja.

Teks BM belum disemak oleh penutur asli.

Disemak dengan GitHub Actions 2026-10 pada 31 Okt 2026

Masalahnya

Anda tarik ghcr.io/you/shop:1.2.0 untuk deploy. Pipeline anda yang bina, atau laptop seseorang? Bagaimana anda tahu?

Tengok

Pek beku ada label: dapur mana, resepi mana, bila. Label sesuatu binaan dipanggil provenance (asal usul). Bila ditandatangani, tiada siapa boleh palsukannya secara senyap. Apa yang ia beritahu?

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

      Tengok

      SLSA: Gred keselamatan makanan untuk binaan (sebut "salsa"): tahap yang tunjuk sejauh mana anda boleh percaya asal pakej. (sebut “salsa”) beri gred kepada binaan, macam gred keselamatan makanan. Susun tahap Build-nya. Paling lemah di atas.

      Paling lemah di atas. Susun ikut turutan. Guna anak panah, atau seret.

      • L2: platform binaan berhos menandatanganinya
      • L3: binaan diperkukuh, jadi run tak boleh sentuh satu sama lain
      • L0: tiada janji
      • L1: provenance wujud

      Teka

      Workflow GitHub Actions anda buat artifact attestation: rekod provenance bertandatangan. Tahap SLSA Build yang mana?

      Cuba

      Semak image sebelum anda deploy. Bina arahannya.

      Ketik kepingan ikut turutan yang betul.

      …

      Tengok

      Pasukan besar juga simpan senarai pembekal yang diluluskan: allow-list: Senarai pembekal yang diluluskan: hanya action dalam senarai boleh jalan dalam organisasi anda. (senarai dibenarkan). Hanya action dalam senarai boleh jalan. Peraturan yang baik, atau berisiko?

      Leret ke kanan untuk bagus, ke kiri untuk perlu baiki. Atau guna butang.

      1 / 4

      Benarkan action yang dibuat oleh GitHub

      Cuba

      Allow-list anda mesti sekat satu action jahat, dan kekalkan yang lain. Entri mana yang buat begitu?

      Anda berjaya!

      Kini anda boleh buktikan asal sesuatu binaan, dan benarkan action yang dipercayai sahaja.

      Nak tahu lebih (pilihan)

      Di mana cerita ini tak tepat: label makanan melekat pada pek. Provenance ialah fail bertandatangan yang berasingan. Alat yang semak, bukan mata anda. Dan tiada gred kata resepi itu bagus. SLSA 1.2 juga tambah Source track, untuk percaya kod itu sendiri. Latihan sebenar: sahkan image yang anda push dalam Dunia C2.