Repolode
提交项目
zizmorcore

zizmorcore/zizmor

面向 GitHub Actions、Dependabot 和 pre-commit 等 CI/CD 配置的静态分析工具，用于查找并修复安全问题。

在 GitHub 查看官网
Star
6,920
Fork
281
未关闭 Issue
171
最近提交
4天前

这是什么？

zizmor 是一款面向 CI/CD 系统的静态分析工具，可扫描工作流和配置文件中的安全问题。目前支持的对象包括 GitHub Actions、Dependabot 和 pre-commit。

它能检测模板注入导致的攻击者可控代码执行、凭据被意外保留或泄露、授予 runner 的权限范围过大，以及冒充提交和容易混淆的 git 引用等问题。部分问题还能给出修复建议，审计规则在官网有完整列表。

项目使用 Rust 编写，采用 MIT 许可证，以命令行工具的形式安装，可在本地或 CI 流水线中运行。

核心功能

  • 01检测可能导致攻击者控制代码执行的模板注入。
  • 02发现工作流中凭据被意外保留或泄露的问题。
  • 03标记授予 runner 的权限范围过大的情况。
  • 04识别冒充提交和容易混淆的 git 引用。
  • 05支持 GitHub Actions、Dependabot 和 pre-commit 配置。

适用场景

  • 在合并变更前审计 GitHub Actions 工作流的安全问题。
  • 在构建和部署软件的 CI 流水线中加入静态安全检查。
  • 检查自动化流程中的仓库权限设置和凭据处理方式。

快速上手

  1. 1

    按照 zizmor 文档中的安装步骤进行安装

收录于专题

安全扫描、审计与威胁情报工具测试框架与自动化测试工具

标签

#github-actions#security#static-analysis#ci-cd#devsecops#rust#security-tools

常见问题

zizmor 是什么？
面向 GitHub Actions、Dependabot 和 pre-commit 等 CI/CD 配置的静态分析工具，用于查找并修复安全问题。 zizmor 是一款面向 CI/CD 系统的静态分析工具，可扫描工作流和配置文件中的安全问题。目前支持的对象包括 GitHub Actions、Dependabot 和 pre-commit。
zizmor 可以免费使用吗？用的什么许可证？
zizmor 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。
zizmor 还在维护吗？
活跃维护中。zizmor 最近一次提交是在 2026年11月3日。
zizmor 适合用来做什么？
在合并变更前审计 GitHub Actions 工作流的安全问题。 在构建和部署软件的 CI 流水线中加入静态安全检查。 检查自动化流程中的仓库权限设置和凭据处理方式。
zizmor 怎么安装和运行？
按照 zizmor 文档中的安装步骤进行安装
在哪里获取 zizmor？
源代码和安装说明在 GitHub 上：https://github.com/zizmorcore/zizmor

概要由 AI 根据项目 README 生成；GitHub 数据每日更新。

相关项目