Контексты и выражения: модель данных и script injection через github.event

Контексты: где живут данные

Прежде чем писать надёжные условия workflow или понять, почему выражение тихо вычисляется в неправильную ветку, нужно знать точно — откуда берутся данные и в какой области они живут.

Workflow читает всё, что знает, из контекстов — структурированных объектов, доступных внутри ${{ }}:

steps:
  - run: echo "commit ${{ github.sha }} on ${{ github.ref_name }}"
  - run: echo "build for ${{ matrix.os }}"
  - if: ${{ needs.build.result == 'success' }}
    run: ./deploy.sh
    env:
      TOKEN: ${{ secrets.DEPLOY_TOKEN }}

Контексты на каждый день: github (payload события, ref, sha, actor, repository), env (переменные workflow/job/step), secrets (зашифрованные значения, маскируемые в логах), needs (outputs и result вышестоящих джобов), matrix (текущая комбинация матрицы), steps (outputs предыдущих шагов в джобе), runner, job, strategy. Доступность ограничена областью: secrets нечитаем в job-level if; needs существует только после объявления ребра needs:; matrix существует только внутри матрицированного джоба. Чтение недоступного контекста даёт пустую строку, а не ошибку — поэтому опечатка ${{ secrets.DEPOLY_TOKEN }} тихо аутентифицируется как никто, и деплой падает с непонятным 401, а не с ясным «undefined secret».

Выражения: операторы, функции и truthiness

Внутри ${{ }} доступен небольшой язык выражений: сравнения (==, !=, <, >), логика (&&, ||, !) и функции — contains(), startsWith(), format(), join(), fromJSON(), toJSON(), hashFiles() и статус-проверки success(), failure(), always(), cancelled(). Доминируют две сеньорские ловушки:

• &&/|| возвращают операнды, а не булевы — GitHub заимствует тернарную идиому ${{ condition && 'a' || 'b' }} для выбора значения, потому что настоящего тернарника нет. Она работает, только когда «истинный» операнд сам truthy; ${{ x && '' || 'b' }} всегда даёт 'b'.
• У if: неявный ${{ }} — пишешь if: github.ref == 'refs/heads/main' без скобок, но как только нужно выражение, начинающееся с !, его надо закавычить или взять в скобки, ведь YAML читает ведущий ! как тег.

fromJSON() — силовой инструмент: он превращает JSON-строку в реальный объект, и так строится динамическая матрица — setup-джоб выдаёт JSON-массив как output, а нижестоящий джоб делает strategy: { matrix: { include: ${{ fromJSON(needs.setup.outputs.list) }} } }. Это превращает «решить, что тестировать, в рантайме» (изменённые пакеты, обнаруженные шарды) из невозможного в одну строку.

Класс инъекций и его единственный фикс

Уязвимость Hook — целый класс: любая строка run:, интерполирующая контекст, на который может влиять атакующий — github.event.*.title, *.body, *.head.ref, сообщения коммитов, head_commit.message, тела ревью — это sink (точка поглощения данных, где они могут стать командой) для script injection. Фикс механичен и полон: никогда не клади управляемый атакующим ${{ }} прямо в run:; передай его через env: и ссылайся на переменную окружения, закавыченную.

# НЕБЕЗОПАСНО: title интерполируется в скрипт, который собирает раннер
- run: echo "title: ${{ github.event.pull_request.title }}"

# БЕЗОПАСНО: значение идёт как данные; shell видит переменную, не исходник
- env:
    PR_TITLE: ${{ github.event.pull_request.title }}
  run: echo "title: $PR_TITLE"

Первая форма позволяет заголовку `id` выполнить команду; вторая печатает бэктики буквально. Больше ничего не меняется — те же данные, другая граница доверия.