GitHub с 2 декабря ограничит pull_request_target в публичных репозиториях
Изображение: OpenAI
GitHub с 2 декабря 2026 года начнёт по умолчанию блокировать события pull_request_target в GitHub Actions для публичных репозиториев из-за риска кражи секретов. Об этом сообщает GitHub Changelog.
Триггер pull_request_target запускает рабочий процесс в контексте основного репозитория и может дать ему доступ к секретам. Если такой процесс выполняет недоверенный код из форка, тот может украсть секреты репозитория.
Постоянную блокировку перенесли со 2 ноября. Пока правило работает в режиме оценки: оно позволяет увидеть, какие запуски попадут под запрет, но не блокирует их.
Пробные блокировки пройдут 9 и 16 ноября, с 16:00 до 18:00 UTC. Попытки запуска, заблокированные правилом по умолчанию, получат статус ошибки, а рабочие процессы не выполнятся. После каждой проверки правило вернётся в режим оценки с предупреждениями.
Приватные и внутренние репозитории правило не затронет. На GitHub Enterprise Server оно также не распространяется.
До 9 ноября GitHub рекомендует проверить в разделе аналитики, какие запуски правило заблокирует. Если рабочему процессу нужен этот триггер, его можно явно разрешить в политике событий Actions. Разрешение можно ограничить отдельными файлами рабочих процессов.
