github-actions-cicd

GitHub Actions CI/CD 技能

目的

使用 GitHub Actions 定义 CI/CD 流水线最佳实践，用于自动化测试、安全扫描和部署。

规则

工作流结构

必须包含：

1. 代码质量检查（lint、格式化）
2. 安全扫描（CodeQL、Dependabot、ZAP）
3. 性能审计（Lighthouse）
4. 构建和压缩
5. 部署（生产环境部署需审批）

工作流示例：

name: CI/CD Pipeline

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

permissions:
  contents: read
  security-events: write

jobs:
  validate:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Validate HTML
        run: npm run validate:html
      - name: Lint CSS
        run: npm run lint:css

  security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Initialize CodeQL
        uses: github/codeql-action/init@v3
      - name: Perform CodeQL Analysis
        uses: github/codeql-action/analyze@v3
      - name: ZAP Baseline Scan
        uses: zaproxy/[email protected]
        with:
          target: 'https://www.hack23.com'

  lighthouse:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Lighthouse
        uses: treosh/lighthouse-ci-action@v10
        with:
          urls: |
            https://www.hack23.com/
            https://www.hack23.com/services.html
          budgetPath: ./budget.json
          uploadArtifacts: true

  deploy:
    needs: [validate, security-scan, lighthouse]
    runs-on: ubuntu-latest
    if: github.ref == 'refs/heads/main'
    steps:
      - uses: actions/checkout@v4
      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ secrets.AWS_ROLE_ARN }}
          aws-region: us-east-1
      - name: Sync to S3
        run: aws s3 sync . s3://${{ secrets.S3_BUCKET }} --delete
      - name: Invalidate CloudFront
        run: aws cloudfront create-invalidation --distribution-id ${{ secrets.CF_DIST_ID }} --paths "/*"

安全最佳实践

必须：

• 使用 OIDC 进行 AWS 身份验证（不使用长期密钥）
• 将密钥存储在 GitHub Secrets 中
• 使用权限最小化的 IAM 角色
• 使用完整提交 SHA 固定 Action 版本
• 启用 Dependabot 以更新 Action
• 使用 permissions 键尽量缩小令牌权限范围

禁止：

• 将密钥提交到代码仓库
• 在工作流中使用个人访问令牌
• 授予过于宽泛的权限

相关文档

• aws-s3-cloudfront SKILL.md
• secure-development SKILL.md