GitHub Actions OIDC 令牌验证器

解决的问题

在CI/CD流水线中为云服务授权通常依赖长期API密钥或密码，这些凭据需要频繁维护和轮换，且存在泄露风险。GitHub Actions提供了OIDC令牌机制，允许工作流通过短期令牌直接对接AWS STS或GCP Workload Identity Federation，实现无密钥认证。但直接集成这类认证流程涉及JWT解析、声明验证和云服务特定配置，对团队而言需要额外学习成本。

核心能力与关键步骤

该技能聚焦OIDC令牌验证的核心逻辑：

• 使用 id-token API获取GitHub签发的JWT令牌
• 通过 jose 库验证令牌的 aud（受众）、iss（签发者）和 sub（主体）声明
• 对接AWS STS的AssumeRoleWithWebIdentity接口或GCP的Workload Identity Federation

典型工作流：

1. 工作流触发时请求 permissions: id-token: write
2. 技能获取令牌并完成声明校验
3. 将令牌传递给云服务验证身份并获取临时凭据

适用边界与注意点

• 依赖GitHub Actions环境：仅适用于GitHub托管或自托管Runner的工作流
• 平台特异性配置：AWS与GCP的联合身份信任关系需提前在云侧配置
• Node.js环境要求：技能依赖Node.js运行时，适用于基于JavaScript的工具链
• 非通用认证工具：仅处理GitHub Actions的OIDC令牌场景，不适用于其他身份提供商的JWT验证

通过封装令牌验证和云服务对接细节，该技能让安全部署流程更贴近实际工程需求。