技能介绍

GitHub Actions 工作流的隐性坑点

在持续集成场景中，GitHub Actions 工作流的 YAML 文件常因手动编写失误埋下隐患：可能是不符合 Actions 官方 schema 的语法错误，导致流水线无法触发；可能是引用了已被官方标记弃用的 action 版本，引发构建中断或安全风险；也可能是 secret 变量的处理方式不规范，比如明文写入配置、未通过正确环境传递，导致敏感信息泄露。这些问题往往在流水线运行到关键节点时才暴露，排查需要逐行核对配置，耗时且易遗漏。

技能的核心处理逻辑

该技能针对这些高频问题提供了结构化校验方案：

对工作流 YAML 文件进行官方 schema 合规性校验，精准识别语法错误、字段缺失、参数类型不匹配等底层问题，确保文件符合 GitHub Actions 的配置规范；
自动扫描工作流中引用的所有 action，比对版本信息，标记出已被官方弃用的旧版本，给出可参考的版本更新提示；
聚焦 secret 处理逻辑，检查是否通过 secrets 上下文正确引用变量、是否在必要的 environment 中配置，避免敏感信息暴露；
兼容 actions/checkout、actions/setup-node、dorny/paths-filter 等常用动作的 API 规范，确保校验覆盖主流工作流场景。

适用边界与注意事项

该技能需在已启用 GitHub Actions 的仓库环境中使用，且依赖 Node.js 运行环境。对于高度定制化的私有 action 或非官方扩展的场景，校验覆盖度可能有限。此外，其 secret 处理检查聚焦于配置层面的规范，无法替代运行时的环境隔离措施，仍需结合 GitHub 自身的 secret 管理机制使用。