cache-mode в GitHub Actions: кеш по принципу наименьших прав

В GitHub Actions появился параметр cache-mode , отдельная настройка прав на кеш для workflow или job. Каждому пайплайну можно выдать только нужный доступ: без лишних восстановлений и записей и с меньшим риском отравления кеша. Уже доступно на github.com на всех тарифах. Четыре режима read , только восстановление кеша, без записи; по умолчанию для недоверенных триггеров вроде pull_request_target write , восстановление и сохранение; по умолчанию для доверенных событий вроде push write-only , только запись, без восстановления none , кеш полностью недоступен Как режим наследуется Настройка job перекрывает workflow. Режим проверяет службу кеша и передаётся в reusable workflows: вызываемый workflow не получит больше прав, чем разрешил вызывающий. Явный cache-mode перекрывает режим «только чтение» по умолчанию для pull_request_target . Если указать write или write-only, риск отравления кеша растёт , Actions добавит предупреждение в аннотациях. Пайплайны без параметра работают по прежним безопасным настройкам по умолчанию. Источник: Control GitHub Actions cache access with cache-mode .