bullfrog：提升GitHub Actions工作流安全的利器

bullfrog：提升GitHub Actions工作流安全的利器

bullfrog Simple plug-and-play Github Action to block unauthorized outbound traffic (egress) in your Github workflows 项目地址: https://gitcode.com/gh_mirrors/bu/bullfrog

在开源项目的持续集成与部署过程中，安全性始终是开发者关注的焦点。Bullfrog 是一个开源项目，致力于提升 GitHub Actions 工作流的安全性，通过精确控制工作流中的出站网络连接，保障项目安全。

项目介绍

Bullfrog 允许开发者定义允许出站网络连接的IP地址和/或域名列表。通过这种方式，可以防止恶意脚本或者不安全的操作尝试与外部不信任的网络服务进行通信。项目默认提供了egress-policy: audit模式，不会阻塞任何请求，但会生成一份所有出站网络连接的列表，方便开发者进行审查和调整。

项目技术分析

Bullfrog 的工作原理是通过在 GitHub Actions 工作流的开始阶段插入一个步骤，使用该步骤来设置网络出站策略。这个策略可以设置为audit或block。在block模式下，所有未明确允许的网络连接都将被阻止，从而确保只有经过验证的连接能够建立。

项目的配置非常灵活，支持以下配置项：

• allowed-ips：定义允许的IP地址列表。
• allowed-domains：定义允许的域名列表，支持通配符。
• dns-policy：控制DNS请求的策略。
• egress-policy：设置出站连接的策略，可以是audit或block。
• enable-sudo：允许使用sudo命令执行步骤，适用于需要提升权限的任务。

Bullfrog 目前支持在 GitHub托管的运行器上运行，兼容ubuntu-latest、ubuntu-22.04和ubuntu-24.04版本。

项目及技术应用场景

Bullfrog 的应用场景广泛，以下是一些常见用法：

• 默认模式：在audit模式下运行，不阻塞任何请求，但会记录所有出站连接，方便后续审查。
• 完全阻塞模式：设置egress-policy为block，阻止所有未明确允许的网络连接。
• 仅允许容器镜像仓库相关请求：为从容器镜像仓库拉取镜像的场景设置允许的域名。
• 特定IP出站请求：在不阻塞DNS请求的情况下，仅允许向特定IP地址发起网络连接。

这些场景帮助开发者根据项目需求，精细控制网络连接，确保工作流的安全性。

项目特点

Bullfrog 具有以下显著特点：

• 安全性：通过控制出站网络连接，有效防止数据泄露和安全风险。
• 灵活性：支持多种配置，适应不同的工作流需求。
• 易用性：集成至GitHub Actions工作流中，操作简便。
• 透明性：在audit模式下，提供详细的出站网络连接记录，便于审查。

Bullfrog 的出现，为GitHub Actions工作流的安全性提供了一个有效的解决方案。通过精细的控制策略，项目维护者可以更加放心地自动化构建、测试和部署项目，而不必担心潜在的安全威胁。

在当前网络安全威胁日益增多的背景下，Bullfrog 无疑是一个值得推荐的开源项目。它不仅提升了GitHub Actions的安全性，也为开源社区贡献了一个实用的工具，让每个开发者都能从中受益。如果你正在使用GitHub Actions，不妨考虑集成Bullfrog，为你的工作流安全再添一层保障。

bullfrog Simple plug-and-play Github Action to block unauthorized outbound traffic (egress) in your Github workflows 项目地址: https://gitcode.com/gh_mirrors/bu/bullfrog