fix: harden the workflows — spoofable actor check and overly broad permissions

[Stensel8]

Summary

Alle zizmor-bevindingen in deze repo opgeruimd: 13 → 0.

Type of change

• fix — bug fix (broken link, incorrect command, layout issue)

1. Spoofbare bot-check in de checksum-workflow (high)

error[bot-conditions]: spoofable bot actor check
  if: ... && github.actor == 'renovate[bot]'

Die if bewaakt een job met contents: write die pusht. github.actor is wie de laatste gebeurtenis veroorzaakte — bij een synchronize dus wie er als laatste pushte. Vervangen door de auteur van de PR, die vastligt bij het openen:

if: >-
  startsWith(github.head_ref, 'renovate/') &&
  github.event.pull_request.user.login == 'renovate[bot]'

Kwam mee uit het Stensel8/scripts-patroon; THectic.nl heeft dezelfde fix in een eigen PR.

2. Rechten stonden bovenaan, dus gold voor élke job (3× error, 1× warning)

Workflow	Was	Nu
hugo.yml	pages: write + id-token: write voor build én deploy	contents: read voor build, Pages-rechten alleen voor deploy
pr-checks.yml	pull-requests: write voor alle 8 jobs	alleen voor image-format en update-checklist
python-checks.yml	geen permissions → erft de repo-default	permissions: {} + contents: read op de job

De splitsing van hugo.yml heb ik nagezocht in plaats van gegokt: configure-pages in de build-job heeft alleen contents: read nodig; pages: write en id-token: write horen bij deploy-pages. Als ik dat verkeerd had ingeschat, was je Pages-deploy stuk gegaan.

3. Tien checkouts hielden hun token vast (warning)

artipacked: de credentials bleven in .git/config staan zolang de job liep, terwijl geen van deze jobs pusht. Nu overal persist-credentials: false — behalve in de checksum-bot, die wél pusht en het token daarom expliciet aan dat ene commando meegeeft.

4. Pages-URL ging rechtstreeks een run: in (note)

-    --baseURL "${{ steps.pages.outputs.base_url }}/"
+  env:
+    BASE_URL: ${{ steps.pages.outputs.base_url }}
+    --baseURL "${BASE_URL}/"

Een expressie in een run: wordt geëxpandeerd vóórdat bash hem ziet.

Waarom dit nu pas opviel

Code scanning faalt alleen op alerts die een PR nieuw introduceert. Deze stonden er al, dus ze bleven onder de radar. In hugo-template waren de workflows nieuw — daar sloeg het wél aan, en dat bracht ook de spoofbare check in deze repo aan het licht.

Getest

zizmor: No findings to report. actionlint: groen.

Checklist

• PR title follows the commit convention
• Both EN and NL versions updated (if applicable) — n.v.t., geen contentwijziging
• Media is in AVIF format (not PNG/JPG) — n.v.t.
• No broken image references — n.v.t.
• Tested locally with hugo server — n.v.t.; actionlint en zizmor lokaal gedraaid, en de Pages-rechten nagezocht in de documentatie

🤖 Generated with Claude Code

https://claude.ai/code/session_01SwrLVfDhkTVHC945s1kZ2s

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.

[Stensel8]

Audit van saxion-eduroam.py erbij gedaan. Drie bugs gevonden, alle drie reproduceerbaar met een nmcli-stub.

1. Een mislukte installatie meldde succes

De ernstigste. run_nmcli geeft bij een certificaatfout False terug in plaats van af te breken, zodat de aanroeper het opnieuw kan proberen zónder expliciete CA-bundle. Maar de uitkomst van díé tweede poging werd weggegooid:

if not success:
    print("Note: Using system default trust store (implicit validation).")
    self.run_nmcli(cmd)      # <- return genegeerd

Met beide pogingen falend:

Note: Using system default trust store (implicit validation).
eduroam profile created successfully.       <- er is niets aangemaakt
[WARN] eduroam profile saved, but automatic activation failed.
--- exitcode: 0

Een student krijgt te horen dat het gelukt is, ziet daarna dat eduroam niet werkt, en heeft geen idee waarom. Nu wordt de fout gemeld en is de exitcode 1.

2. --silent opende alsnog een GUI

--silent is gedocumenteerd als "Run without GUI", maar alleen show_message keek naar die vlag. prompt_input keek naar gui_tool, dus op een desktop kwam er gewoon een zenity-venster:

ZENITY AANGEROEPEN met: --entry --title=Saxion eduroam Installer --text=Username (...)

Dat breekt elk niet-interactief gebruik. gui_tool wordt nu één keer in __init__ bepaald, zodat de twee niet uit elkaar kunnen lopen.

3. De log-maskering sloopte gewone zinnen

Het wachtwoordpatroon had de scheidingstekens optioneel ([=: ]*) en at daardoor het wóórd na "password" op. Het bericht dat juist uitlegt wat er gaat gebeuren, werd:

Your password=[REDACTED] now be requested by your desktop keyring
If you do not see a password=[REDACTED] open your network settings

Nu is een = of : verplicht. Getest dat echte waarden nog steeds gemaskeerd worden — password=, password: , PASSWORD = , plus de gebruikersnaam- en e-mailpatronen — en dat de uitleg heel blijft.

Checksum gebumpt

De docs vragen gebruikers de download te verifiëren, dus die hash moest mee. In beide talen bijgewerkt:

oud:    bef16a8ce91644a26cdd428f8dd0300de8e49ed72d9cbf4b6d39efea6d8facc1
nieuw:  1e5863d5d03fbe65878f31909a1bea4a47bc28f8d352bd18b676c363a8d9caa8

Gecontroleerd dat de oude hash nergens meer voorkomt en dat de nieuwe overeenkomt met het bestand in deze commit.

bandit, pyflakes, actionlint, zizmor en markdownlint: allemaal schoon.

---

Generated by Claude Code