#zizmor

zizmor：專門掃 GitHub Actions 的 Template Injection 與 Token 風險

zizmor 針對 workflow/action YAML 做 domain-specific static analysis，找 template injection、過寬 permissions、artifact credential leak 與 unpinned uses；它不分析被呼叫 shell script 本身。