https://txtmix.com/tags/actions/checkout/Recent content in Actions/Checkout on Text MatrixHugozh-cnTue, 21 Jul 2026 20:06:14 +0800https://txtmix.com/posts/tech/actions-checkout-v7-pwn-request-mitigation-deep-dive/Fri, 17 Jul 2026 02:58:00 +0800https://txtmix.com/posts/tech/actions-checkout-v7-pwn-request-mitigation-deep-dive/<h2 id="一句话判断">一句话判断</h2> <p><strong>actions/checkout（<a href="https://github.com/actions/checkout" target="_blank" rel="noopener noreffer ">actions/checkout</a>）是 GitHub Actions 生态里被引用次数最多的 action——几乎每一个 CI workflow 的第一行都是 <code>uses: actions/checkout@v4</code></strong>。它做的事情表面简单：&ldquo;在 runner 上把仓库克隆到 <code>$GITHUB_WORKSPACE</code>&quot;，但 v7（2026-06-18 发布）是一次被安全事件驱动的硬性升级：<strong>默认拒绝 fork pull request 在 <code>pull_request_target</code> / <code>workflow_run</code> 触发器下被 checkout——也就是业界常说的&quot;pwn request&quot;漏洞类别</strong>。同时 v7 完成了从 CJS 到 ESM 的模块化迁移，以适配新的 <code>@actions/*</code> 包版本。8455 stars、MIT、TypeScript 实现，仓库本身<strong>不接收外部 contribution</strong>（README 明确写明），由 GitHub 官方 Actions 团队直接维护。</p>