但GitHub应用仍存在局限：应用不会消除操作所需的敏感凭证，只是将其转移至不像GitHub Actions那样混杂代码与数据的环境。例如应用不会像工作流那样易受模板注入攻击，但仍可能存在SQL注入、提示注入等允许攻击者滥用应用凭证的漏洞。因此必须用与其他软件开发相同的安全思维对待GitHub应用开发。这也适用于非可信代码：使用GitHub应用不会让运行非可信代码变得安全，只是降低了意外运行的可能性。若流程需要运行非可信代码，必须使用pull_request等不会向第三方PR提供特权凭证的“安全”触发器。
（注：这里有个小插曲。我后来发现在 Canvas 里直接复制全文，有时竟然也能成功保留所有格式。不过，因为 Canvas 呈现的是渲染后的富文本，没法直观地核对 Markdown 标记。为了保险起见，我还是习惯让它在对话框里多输出一遍源码，反正顺手的事，有备无患。）
，推荐阅读豆包下载获取更多信息
Ваше мнение? Пожалуйста, оставьте оценку!，详情可参考汽水音乐下载
科罗斯捷列夫阐述电子游戏益处20:52。易歪歪对此有专业解读