GitHub Actions workflow execution protections 怎麼設？用 ruleset 限制誰能觸發 CI

這個 protection 解決哪一個邊界#

GitHub 官方的說法是，workflow execution protections 會在 workflow 執行前評估 allow list；未通過的 actor 或 event 不會進入執行階段。這和 workflow 內的安全設定是不同層次：

例如 on: workflow_dispatch 只說明 workflow 支援手動執行；它不會單獨限制哪些 repository role 可以按下執行。execution protection 的 actor rule 才是處理「誰能觸發」的控制面。

Actor 和 event 是第一批規則#

目前官方文件列出的規則有兩類：

• Actor rules：限制個人、repository role，以及 GitHub Apps、Copilot、Dependabot 等來源。
• Event rules：限制 push、pull_request、pull_request_target、workflow_dispatch 等事件。

預設情況下，具有 repository write access 的使用者可以觸發 workflow。這不代表他一定能讀取 production secret 或推送程式碼，但它確實可能讓一份剛被修改的 workflow YAML 進入 runner；若該 workflow 具有過寬的權限，風險就會在執行時放大。

因此，規則設計應先從高風險事件與高權限 workflow 開始，而不是全 repository 一次禁止所有 event：

1. 列出會使用部署 token、cloud credential 或 OIDC 的 workflow。
2. 針對 pull_request_target、手動 workflow_dispatch 和需要 production environment 的流程先做 actor／event 盤點。
3. 把正常的 Dependabot、Copilot 或 release automation 明確列入允許範圍，並用最小 permissions 限制它們能做的事。

設定位置與安全導入順序#

GitHub 的設定路徑是 repository、organization 或 enterprise 的 Actions 設定：

1. 開啟 repository 的 Settings。
2. 進入 Actions > Policies。
3. 建立 ruleset，加入 actor 和 event rules。
4. 先選 Evaluate，觀察規則會擋下哪些 workflow run。
5. 確認例外與維運流程後，再改成 active。

ruleset 的好處是可以沿用既有的 targeting 與 repository custom properties，把同一套政策套到一組 repository，而不是每個 workflow 各寫一份近似的 YAML。要注意的是，Evaluate mode 是觀察工具，不是安全封鎖；正式啟用前不能把它當成已完成的防護。

不要把它和其他核准機制混在一起#

如果 run 顯示等待核准，先確認它屬於哪一種流程。既有的 GitHub Actions workflow 保留與核准檢查處理的是 GitHub 判斷疑似惡意的特定 run；environment reviewer 處理的是部署 job 的人工核准；workflow execution protections 則是讓 actor 與 event 在更前面就不符合政策。

同樣地，這項 ruleset 不能取代 pull_request_target 的安全邊界。即使 actor 與 event 被允許，workflow 仍不能在高權限上下文中直接執行不可信的 fork 程式碼；permissions、checkout 行為、secret 讀取和 action 版本仍要各自 review。

啟用前後怎麼驗證#

至少留下四類測試案例：

把被允許與被拒絕的案例都放進 rollout 紀錄。規則只改變「能不能進入 workflow」，不會替你驗證程式碼、secret 或第三方 action，因此仍應保留 build、test 和部署前檢查。

結論：先控准入，再控權限#

workflow execution protections 的價值是把「誰可以啟動 CI」從每份 YAML 拉到 GitHub 的集中政策。最安全的導入順序是先盤點高權限 workflow，再用 Evaluate mode 收集誤擋案例，最後同時檢查 actor、event、permissions 和 environment reviewer。這樣 ruleset 才是額外的前置邊界，而不是另一個難以追蹤的開關。

常見問題#