GitHub Actions thêm cache-mode: khóa quyền cache để giảm rủi ro poisoning

Bài viết này do AI tạo ra, có thể mắc sai sót.

Tóm tắt nhanh

GitHub Actions có cache-mode để giới hạn quyền cache ở workflow hoặc job.
Bốn mức: read, write, write-only, none.
Job override workflow; reusable workflow không nhận quyền cao hơn caller.
GA trên mọi gói GitHub.com; workflow không khai báo giữ secure default hiện có.

Cache thành bề mặt quyền hạn

Cache tăng tốc CI nhưng cũng có thể thành đường truyền dữ liệu không đáng tin. GitHub bổ sung cache-mode để tách rõ quyền restore và save theo nguyên tắc least privilege, thay vì cho mọi job dùng cùng quyền cache.

Bốn chế độ cần hiểu đúng

read: restore, không save; mặc định cho event low-trust như pull_request_target.
write: restore và save; mặc định cho event tin cậy như push.
write-only: chỉ save, không restore.
none: chặn toàn bộ cache access.

Quyền bị chặn xuyên reusable workflow

Thiết lập ở job có ưu tiên hơn workflow. Quan trọng hơn, GitHub cache service thực thi giới hạn cả khi gọi reusable workflow: workflow được gọi không thể tự nâng quyền cache vượt quyền caller. Đây là chốt an toàn cho repository có template CI dùng lại nhiều nơi.

Cảnh báo với pull_request_target

Khai báo rõ write hoặc write-only cho event low-trust như pull_request_target có thể tăng rủi ro cache poisoning. GitHub sẽ tạo warning annotation, nhưng cảnh báo không thay thế review cấu hình. Không đặt cache-mode vẫn giữ mặc định an toàn hiện hành.

Khuyến nghị triển khai

Đặt read cho job test từ code không tin cậy.
Chỉ cấp write cho build trusted cần tái dùng artifact cache.
Dùng none cho job xử lý secret hoặc job không cần cache.
Audit reusable workflow trước khi đổi policy diện rộng.

Phân tích

Đây là cải tiến nhỏ về syntax nhưng lớn về ranh giới trust của CI/CD. Cache poisoning thường không cần phá runner; chỉ cần dữ liệu cache đi sai hướng vào build đáng tin. Chia quyền read/write giúp giảm blast radius, song không cứu workflow tự chạy mã PR trong ngữ cảnh có secret. Đội DevOps cần xem cache-mode là một lớp trong policy tổng thể: event trigger, token permissions, secret exposure và provenance vẫn phải được kiểm soát.

Vì sao đáng chú ý?

Khi pipeline mở rộng qua fork, reusable workflow và nhiều team, mặc định “cache dùng chung” nhanh chóng thành nợ bảo mật. Cache-mode cho phép policy rõ ràng, review được trong YAML và áp dụng dần không phá các workflow chưa chỉnh sửa.