Блог

Я замечаю, что в GitHub marketplace есть много действий, которые делают то же самое. Вот один из примеров: https://github.com/marketplace/actions/copy-file

Есть ли какая-либо польза от использования действия GitHub marketplace вместо простых команд bash? Есть ли у нас рекомендации по рекомендуемым методам, которые помогают решить, использовать ли мне действия на рынке, а не обычный bash или командную строку

Эти действия, похоже, не имеют никакой реальной ценности в моих глазах…

Кроме этого, они выполняются в docker и не нужны cp wget или curl должны быть доступны на хосте, и они гарантируют, что используется согласованная версия их инструментов. Если вам повезет, эти действия также выполняются одинаково одинаково в Windows, Linux и Mac, где, поскольку ваши сценарии bash могут не выполняться в Windows. Но автор действия должен был бы обеспечить это, это не то, что поставляется по умолчанию.

Одна вещь, которая может быть причиной использования этих действий из marketplace, заключается в том, что они могут выполняться как пост-шаг, чего run: script/bash/pwsh не могут шаги.

Они не более стабильны или безопасны, если вы не привязываете действия к хэшу коммита или не разветвляете его, владелец действия может изменить поведение действия в любое время. Итак, вы доверяете оригинальному автору.

Многие действия предоставляют удобные функции, такие как улучшение ведения журнала или выходных переменных или возможность безопасной передачи учетных данных, но эти задачи кажутся скорее упражнением в создании действия автором, и они на самом деле не служат большой цели.

Документация, прилагаемая к каждому из этих действий, не дает четкой причины для использования этих действий, действия не соответствуют предпочтительной схеме управления версиями… Я бы не стал их использовать.

Итак, когда бы вы использовали действие из marketplace …? В общих действиях, таких как определенные cli, предусмотрена определенная цель, и действие должно содержать все, что ему нужно для запуска.

Действие может содержать сложный набор шагов, обеспечивать правильную обработку аргументов, выдавать специальные команды ведения журнала, чтобы сделать вывод более понятным для человека, или обновлять среду для задач, выполняемых дальше в рабочем процессе.

Действие, которое добавляет эту дополнительную функциональность поверх существующих cli, упрощает передачу данных от одного действия к другому или даже от одного задания к другому.

Действие также проще повторно использовать в разных репозиториях, поэтому, если вы используете одни и те же сценарии в нескольких репозиториях, вы можете обернуть их в действие и легко ссылаться на них из этого одного места вместо дублирования сценария в каждом рабочем процессе действия или добавления сценария в каждый репозиторий.

GitHub дает мало указаний о том, когда использовать действие или когда автор должен опубликовать действие на marketplace или нет. В принципе, любой может опубликовать в marketplace все, что соответствует минимальным требованиям к метаданным для marketplace.

GitHub предоставляет рекомендации по управлению версиями для авторов, хорошие действия должны создавать теги, к которым пользователь может прикрепить. Авторы должны практиковать семантическое управление версиями, чтобы предотвратить случайное нарушение их пользователей. Действия, которые указывают ветку, подобную main или master в их документах, являются подозрительными в моих глазах, и я бы не стал их использовать, их реализация может измениться из-под вас в любое время.

Как пользователь любого действия, вы должны знать о последствиях использования любых действий для безопасности. Кроме этого, у автора в его учетной записи включен 2FA, GitHub практически не проверяет любые действия, которые они сами не выполняют. Теоретически любой автор мог бы заменить их реализацию вымогателями или майнером биткойнов. Итак, для действий, которые вы не установили доверительные отношения с их автором, рекомендуется перенести действие на свою учетную запись или организацию и проверить содержимое перед их запуском в вашем runner, особенно если это частный runner с доступом к защищенным средам. Мой коллега Роб Бос глубоко изучил эту тему и часто говорил на эту тему на конференциях, подкастах и прямых трансляциях.