github-actions-templates

GitHub Actions 工作流模式

何时使用

为现有仓库实现测试、矩阵构建、制品准备或明确授权的部署工作流。

输入

检查仓库的实际脚本、锁文件、支持的运行时、必需检查名称和发布策略。在选择任务边界之前，阅读 resources/implementation-playbook.md 和 references/common-workflows.md。

测试工作流

此 Node 示例假设目标仓库声明了 npm test 并支持 Node 22。根据实际项目调整运行时和命令。固定的 action 修订版本是明确的审查输入；在采用或更新模板之前验证它们。

name: Test
on:
  pull_request:
  push:
    branches: [main]
permissions:
  contents: read
jobs:
  test:
    runs-on: ubuntu-latest
    timeout-minutes: 15
    steps:
      - uses: actions/checkout@93cb6efe18208431cddfb8368fd83d5badbf9bfd
        with:
          persist-credentials: false
      - uses: actions/setup-node@a0853c24544627f65ddf259abe73b1d18a591444
        with:
          node-version: '22'
          cache: npm
      - run: npm ci
      - run: npm test

矩阵构建

仅针对项目支持的版本和操作系统添加矩阵。保持依赖可复现，识别失败的组合，避免用笼统的 continue-on-error 隐藏失败。当任务被有条件跳过时，测试必需检查的行为。

构建与发布

从经过测试的提交构建制品并记录其标识。发布需要单独的受信任任务，并具有最小的注册表权限。不要在特权上下文中发布由任意不受信任代码生成的制品；将接受的制品绑定到其确切来源和生成工作流。

部署

使用项目的受保护发布路径。在添加部署命令之前，确定不可变制品、目标、工作负载身份、发布和回滚检查。命名的 GitHub 环境不会自动配置审查者。验证其实际保护措施。不要将占位符 echo 命令标记为成功部署。

验证

在主题分支上执行一次通过的更改和一次故意的测试失败。确认失败的检查阻止下游发布。检查令牌、运行器隔离、缓存和制品边界。确保生产凭据不出现在不受信任的验证任务中。

示例

项目需要 Linux 和 Windows 测试。选择其支持的运行时，添加两个运行器组合，并确认任一失败都会阻止必需结果。单独准备发布；不要将注册表凭据添加到矩阵中。

限制

此技能提供模式，而非已安装的部署程序。必须检查仓库策略、运行器信任和环境设置。在完整提交 SHA 处审查每个第三方 action，并将日志和上传的制品视为可能的数据暴露途径。

来源

• GitHub 安全工作流指南