GitHub Actions 发布 Cache-Mode 功能：以最小权限原则强化工作流缓存安全
GitHub 近日在其官方更新日志中宣布了一项重要的安全增强功能——Cache-Mode。该功能允许开发者在 Workflow 或 Job 级别精确控制对 GitHub Actions 缓存的访问权限，旨在通过实施最小权限原则（Least-Privilege Principle）来防止缓存中毒攻击，同时优化缓存的读写效率。
核心突破：细粒度的缓存访问控制
此前，GitHub Actions 对缓存的访问控制较为宽松，尤其是在处理低信任事件（如 pull_request_target）时，默认行为可能带来安全风险。现在，开发者可以明确指定每个 Job 所需的缓存访问模式：
- read: 允许缓存恢复（restore），但禁止保存（save）。这是低信任事件的默认模式，例如
pull_request_target。 - write: 允许缓存恢复和保存。这是高信任事件的默认模式，例如
push。 - write-only: 仅允许保存缓存，禁止恢复。适用于需要构建产物但无需依赖上游缓存的场景。
- none: 完全禁止任何缓存访问。
安全机制与默认策略
GitHub 此次更新强化了默认安全策略：
- 默认安全默认值：未设置
cache-mode的工作流将继续使用现有的安全默认值。对于低信任事件，默认仅允许read访问，防止恶意代码利用缓存注入攻击。 - 警告机制：如果开发者在低信任事件（如
pull_request_target）中显式声明了write或write-only模式，GitHub Actions 将添加警告注释，提示潜在的缓存中毒风险。 - 继承与覆盖：Job 级别的设置会覆盖 Workflow 级别的设置。此外，该策略在可重用工作流（Reusable Workflows）中同样生效，被调用的工作流无法获得比调用者更多的缓存访问权限。
实际价值与应用场景
对于开发者而言，这一更新带来了多重价值：
- 防御缓存中毒：通过限制写入权限，大幅降低了攻击者篡改缓存内容导致构建失败或植入后门的风险。
- 优化构建性能：通过精确控制
read和write，避免不必要的缓存保存操作，减少磁盘 I/O 开销，提升构建速度。 - 通用可用性：该功能现已在
github.com上对所有 GitHub 计划（All Plans）通用，无需额外付费即可享受企业级安全特性。
开发者只需在 .github/workflows/ 目录下的 YAML 文件中添加 cache-mode 字段即可启用。详细的语法配置请参考官方文档。
“通过赋予每个工作流或 Job 仅其所需的缓存访问权限，我们可以防止不必要的恢复或保存操作，并帮助保护可信工作流免受缓存中毒的侵害。” —— GitHub 官方团队
这一更新标志着 GitHub Actions 在安全性与灵活性之间取得了新的平衡，为构建更稳健的 CI/CD 流水线提供了强有力的工具。
