Erkennen Sie Workflow-Fehler und Sicherheitslücken, bevor Sie pushen.

Zwei Dinge gleichzeitig. Erstens parst er das YAML Ihres Workflows und meldet Syntaxfehler, falsche Einrückung und strukturelle Fehler — also die Dinge, die einen Lauf scheitern lassen, bevor auch nur ein einziger Schritt ausgeführt wird. Zweitens, und das ist wichtiger, führt er eine Reihe von Prüfungen auf Sicherheitsfehlkonfigurationen durch, die gewöhnliche Linter überspringen: das „Pwn-Request“-Muster aus pull_request_target + checkout, Script Injection über nicht vertrauenswürdige ${{ github.* }}-Ausdrücke, Drittanbieter-Actions, die auf einen veränderbaren Tag statt auf einen Commit-SHA gepinnt sind, sowie zu weit gefasste Berechtigungen wie write-all. Sie erhalten Fehler und gefährliche Muster in einem einzigen Durchlauf.

Nein. Der Validator läuft zu 100 % clientseitig. Das YAML Ihres Workflows wird in Ihrem Browser-Tab geparst und analysiert — nichts wird auf einen Server hochgeladen, und es gibt kein Konto und keine Anmeldung. Sie können bedenkenlos interne oder proprietäre Workflows einfügen, auch solche mit Secret-Namen und privaten Runner-Labels.

actionlint ist hervorragend bei Syntax, Ausdruckstypisierung und der shellcheck-Integration — und Sie sollten es weiterhin verwenden. Aber die Fehler, die Repositories tatsächlich kompromittieren, sind Sicherheitsfehler: nicht vertrauenswürdigen Code mit einem privilegierten Token auszuführen, von Angreifern kontrollierten Text direkt in eine Shell zu interpolieren oder eine Drittanbieter-Action über einen Tag einzubinden, den ihr Autor unbemerkt verschieben kann. Dieses Tool konzentriert sich auf genau diese Sicherheitsfehlkonfigurationen, validiert zudem das YAML und benötigt keinerlei Installation.

Ein durch pull_request_target ausgelöster Workflow läuft im Kontext des Basis-Repositorys — mit Zugriff auf dessen Secrets und einem Lese-/Schreib-GITHUB_TOKEN — kann aber durch einen Pull Request aus jedem beliebigen Fork ausgelöst werden. Wenn dieser Workflow zusätzlich den PR-Head auscheckt (actions/checkout mit der PR-Ref) und ihn dann baut, testet oder Skripte daraus ausführt, wird der Code aus dem Fork eines Angreifers mit Ihren Secrets ausgeführt. Das ist der klassische „Pwn-Request“. Der Validator markiert pull_request_target immer dann, wenn es mit einem Checkout von nicht vertrauenswürdigem PR-Code kombiniert wird.

Wenn Sie einen Ausdruck wie ${{ github.event.issue.title }} oder ${{ github.head_ref }} direkt in einen run:-Shell-Block einbetten, ersetzt GitHub den rohen, von Angreifern kontrollierbaren Wert in Ihrem Skript, bevor die Shell ihn parst. Ein Titel von a"; rm -rf / # wird ausführbar. Die Lösung besteht darin, nicht vertrauenswürdige Werte über eine env:-Variable zu übergeben und sie als "$TITLE" zu referenzieren, sodass die Shell sie als Daten und niemals als Code behandelt. Der Validator markiert nicht vertrauenswürdige github-Kontextausdrücke, die innerhalb von run-Schritten verwendet werden.

Eine Referenz wie actions/checkout@v4 oder some-org/action@main zeigt auf einen Tag oder Branch, den der Maintainer der Action — oder ein Angreifer, der dessen Konto kompromittiert — jederzeit auf neuen Code verschieben kann, und dieser Code läuft dann in Ihrer Pipeline mit Ihrem Token. Das Pinnen auf einen vollständigen 40-stelligen Commit-SHA (uses: actions/checkout@<sha>) macht die Version unveränderlich. Der Validator markiert Drittanbieter-Actions, die auf einen veränderbaren Tag oder Branch gepinnt sind.

Nein. Dieser Validator ist ein unabhängiges Community-Tool und steht in keiner Verbindung zu GitHub, Inc., wird von diesem nicht unterstützt oder gesponsert. „GitHub“ und „GitHub Actions“ werden hier ausschließlich beschreibend verwendet, um das Workflow-Format zu kennzeichnen, das das Tool prüft.

Fügen Sie das YAML des Workflows in einen browserbasierten Validator ein, um Fehler vor dem Commit abzufangen — ohne Installation und ohne Push. Dieses Tool führt den vollständigen Prüfsatz (YAML-Struktur plus Sicherheitsfehlkonfigurationen) vollständig in Ihrem Browser aus, sodass Sie sofortiges Feedback zu Syntaxfehlern, fehlendem runs-on, falschen Trigger-Namen und gefährlichen Mustern wie ungepinnten Actions oder Script Injection erhalten, bevor der Workflow GitHub jemals erreicht.

Häufige Probleme sind ein fehlendes runs-on bei einem Job, ein Schritt, der sowohl uses als auch run angibt, eine needs-Referenz, die auf einen nicht existierenden Job zeigt, ein ungültiger Trigger-Event-Name und falsche YAML-Einrückung. Der Validator erkennt jedes dieser Probleme als strukturellen Fehler mit der Zeilennummer, an der es auftritt, sodass Sie sie beheben können, bevor der Lauf auf GitHub scheitert.

Die meisten statischen Checker — actionlint, zizmor, action-validator — benötigen eine CLI oder eine Rust-/Go-Toolchain. Dieser Validator ist kostenlos, erfordert keine Installation und keine Anmeldung und läuft vollständig in Ihrem Browser. Er prüft sowohl die YAML-Gültigkeit als auch die Sicherheitsfehlkonfigurationen (ungepinnte Actions, Template Injection, gefährliche Trigger, zu weit gefasste Token-Berechtigungen), die auch die CLI-Tools abdecken, ganz ohne lokale Einrichtung.