GitHub Tangguh Sekatan pull_request_target ke Disember: Masa Menyemak Automasi Repositori Awam

GitHub mengumumkan bahawa sekatan lalai terhadap pencetus pull_request_target dalam repositori awam akan dikuatkuasakan pada 2 Disember 2026. Penguatkuasaan itu sebelum ini dijadualkan pada 2 November.

Perubahan ini berkaitan keselamatan aliran kerja GitHub Actions, tetapi juga boleh menghentikan automasi yang bergantung pada pencetus tersebut. Bagi pasukan yang menerima sumbangan kod daripada luar, beberapa minggu sebelum tarikh itu boleh digunakan untuk mengenal pasti aliran kerja yang terkesan dan menilai risikonya.

Apa yang akan berubah?

Menurut pengumuman GitHub pada 2 November, peraturan lalai akan menyekat peristiwa pull_request_target dalam repositori awam melainkan dasar peristiwa Actions yang berkenaan membenarkannya secara jelas. Peraturan itu pada mulanya berada dalam mod penilaian, yang membolehkan pentadbir melihat aliran kerja yang akan disekat apabila penguatkuasaan bermula.

Perubahan ini melibatkan repositori awam pada GitHub Free, GitHub Team dan GitHub Enterprise Cloud. Repositori persendirian dan dalaman tidak terjejas oleh peraturan lalai ini, dan GitHub menyatakan perubahan tersebut tidak melibatkan GitHub Enterprise Server. Dasar peristiwa sedia ada yang berkenaan juga tidak digantikan oleh dasar lalai itu.

Sumber: pull_request_target blocked by default December 2; Securely using pull_request_target.

Mengapa pencetus ini memerlukan perhatian?

Pencetus pull_request_target menjalankan aliran kerja dalam konteks repositori asas dan boleh mempunyai akses kepada rahsia repositori. GitHub menerangkan bahawa ia berguna untuk tugas seperti melabel atau mengurus pull request, termasuk sumbangan daripada salinan repositori yang dikenali sebagai fork.

Risiko timbul apabila aliran kerja yang mempunyai keistimewaan itu mengambil dan menjalankan kod yang tidak dipercayai daripada fork. Contohnya, fail binaan atau kebergantungan yang diubah oleh penyumbang boleh melaksanakan arahan semasa ujian. Jika aliran kerja mempunyai akses yang luas, rahsia atau token repositori boleh terdedah.

Pengambilan kod semata-mata tidak bermaksud kod itu telah dijalankan. Namun, langkah binaan, pemasangan kebergantungan dan ujian selepasnya perlu diperiksa kerana langkah tersebut mungkin melaksanakan kandungan yang dibawa oleh pull request.

Sumber: Securely using pull_request_target.

Dua ujian sementara sebelum penguatkuasaan

GitHub menjadualkan dua tempoh penguatkuasaan sementara, atau brownout, pada 9 dan 16 November 2026 dari 16:00 hingga 18:00 UTC. Dalam waktu Malaysia, kedua-duanya jatuh pada 10 dan 17 November, dari 12:00 tengah malam hingga 2:00 pagi.

Dalam tempoh tersebut, percubaan aliran kerja yang disekat oleh peraturan lalai akan direkodkan sebagai gagal dengan anotasi ralat dan tidak akan dilaksanakan. Selepas setiap tempoh, peraturan itu kembali ke mod penilaian sehingga penguatkuasaan tetap bermula. Jadual ini ialah perancangan yang diumumkan GitHub, bukannya laporan bahawa ujian tersebut sudah berlaku.

Sumber: pull_request_target blocked by default December 2.

Menilai pilihan untuk aliran kerja sedia ada

GitHub mengesyorkan pentadbir menggunakan paparan Insights dasar untuk mengenal pasti aliran kerja yang akan terkesan. Seterusnya, pasukan boleh menilai sama ada setiap aliran kerja benar-benar memerlukan pull_request_target.

Jika akses tambahan tidak diperlukan, dokumentasi GitHub mencadangkan agar penggunaan pencetus pull_request dipertimbangkan. Bagi pull request daripada fork, GitHub menerangkan bahawa pencetus ini mempunyai perlindungan seperti token baca sahaja dan rahsia lain tidak diberikan. Perubahan pencetus tetap perlu diuji kerana keperluan setiap automasi berbeza.

Jika pull_request_target masih diperlukan, dasar peristiwa yang berkenaan boleh membenarkannya secara jelas, termasuk menyasarkan fail aliran kerja tertentu. Kebenaran itu wajar disertai semakan keselamatan: GitHub memberi amaran agar kod pull request yang tidak dipercayai tidak diambil, dibina atau dijalankan dengan akses kepada rahsia atau token berkeistimewaan.

Sumber: pull_request_target blocked by default December 2; Securely using pull_request_target; About Actions policies.

Cadangan editorial untuk pasukan IT Malaysia

Sebagai langkah praktikal, penyelenggara projek sumber terbuka, agensi pembangunan dan pasukan produk di Malaysia boleh menyediakan senarai repositori awam serta pemilik setiap automasi. Mulakan dengan tugas yang memberi label, menjalankan pemeriksaan atau menyediakan laporan apabila sumbangan luar diterima.

Untuk setiap tugas, catat pencetus, kebenaran token, rahsia yang digunakan dan sama ada kod sumbangan luar dijalankan. Uji perubahan dalam repositori percubaan sebelum mengubah projek sebenar. Jika pengecualian diperlukan, dokumentasikan sebab dan hadkan skopnya supaya keputusan itu mudah disemak semula.

Pasukan yang memantau kerja secara berkala juga boleh mencatat waktu ujian sementara dalam jadual operasi. Semak rekod kegagalan selepas setiap tempoh dan pastikan orang yang bertanggungjawab tahu membezakan sekatan dasar daripada kegagalan ujian kod biasa. Latihan kecil seperti ini membantu pembangun memahami hubungan antara automasi, kepercayaan dan akses kepada rahsia.

Rujukan

• pull_request_target blocked by default December 2 — 2026-11-02
• Securely using pull_request_target
• About Actions policies

Disediakan secara automatik dengan bantuan AI berdasarkan sumber yang dipautkan. Semakan sumber: 2026-11-08. Gambar utama ialah ilustrasi janaan AI, bukan foto peristiwa sebenar.