GitHub Actions の式構文はスクリプトインジェクションの温床になる

「${{ }} はテンプレート置換であり、展開先のコード実行コンテキストでは注入リスクになる」わかりました

${{ }}は単なるテンプレート置換だと理解してない奴多すぎ問題。env経由は基本中の基本だわ

env経由は基本、と

多分存在してはいけない構文たったんだけど、GitHub的にはいまさら消すわけにもいかず（いやdeprecatedにするとかやりようがあると思うけどね）、日々せっせと脆弱性を生み出している存在になっている…。

外から自由に入力できる上に、evalされるから当たり前という。env経由だけでなく、validateが必須だな

本記事は、GitHub Actionsの${{ }}展開がscriptやrunでテンプレート注入を招く事例と、env経由（例: MERGE_SHA）やactionlint/zizmorでの検出・対策を

YAML de puroguramingu にシェルスクリプトだらけなの地獄なので本当にセンスのない構文だよなと思う。YAMLなんでこんなに使われてしまうのかわからん…。 env越しに渡すようにしてる。

自前のアラートを増やしすぎるのもアンチパターンなので非推奨でもなんでもして潰していって欲しいところ。

evalじゃん