#github-actions

We now auto-approve and merge 15% of PRs

Để giải quyết vấn đề hiệu suất làm việc, công ty đã triển khai hệ thống auto-approve và …

AI coding has made CI a bottleneck, so we reworked ours to keep up

Trước đây AI coding đã tạo ra điểm nghẽn trong CI/CD pipeline khiến thời gian chờ PR và chi phí vận hành tăng cao. Nguyên nhân kỹ thuật đến từ việc hệ thống CI không được tối ưu cho khối lượng công việc do AI tạo ra. Công ty đã tái thiết kế CI từ hạ tầng đến cách lập lịch và song song hóa test, giúp giảm đáng kể thời gian chờ PR và chi phí chạy. Họ sử dụng các kỹ thuật như test parallelization và workflow scheduling để tối ưu hóa hiệu suất. Bài viết mang lại bài giá trị về cách tiếp cận CI/CD như một hệ thống thống nhất thay vì các component riêng lẻ.

Bài viết này giúp lập trình viên tối ưu hóa hệ thống CI để giảm thời gian chờ PR và chi phí vận hành khi AI code ngày càng phổ biến.

Scaling Golang CI by Replacing actions/setup-go

cloudx-io/setup-go là giải pháp thay thế nhanh hơn và thông minh hơn cho actions/setup-go trong pipeline CI của Go. Thay thế actions/setup-go giúp giảm thời gian CI từ 60% xuống 80%, đặc biệt với các dự án sử dụng Go module cache. Hệ quả là việc build pipeline trở nên nhanh hơn đáng kể, giúp tăng tốc độ feedback loop cho các lập trình viên. Điều đáng học là việc tối ưu các dependency trong CI có thể tạo ra khác biệt lớn về hiệu năng, không nhất thiết phải thay đổi codebase.

Sử dụng cloudx-io/setup-go giúp tăng tốc độ CI và tối ưu hóa quy trình làm việc với Golang.

Figma agent vs. one button: shipping design tokens to npm

Tác giả đã tự động hóa việc release design tokens bằng hai AI agents, tốn sáu phút cho mỗi lần chạy. Trong khi đó, một nút bấm trong plugin đã có từ nhiều năm nay chỉ cần vài giây. Sự khác biệt hiệu suất này cho thấy AI agents không phải lúc nào cũng tối ưu cho tác vụ đơn giản. Bài viết minh họa việc cân nhắc giữa giải pháp tự động hóa phức tạp và giải pháp đơn giản, hiệu quả hơn. Những ai làm việc với design tokens và hệ thống CI/CD có thể rút ra bài học về lựa chọn công cụ phù hợp.

Bài này giúp bạn hiểu được sự cân bằng giữa giải pháp AI tự động và các công cụ đơn giản khi quản lý design tokens trong môi trường phát triển.

GitHub agentic workflows and Renovate

Renovate là công cụ quét repository, phát hiện phiên bản package lỗi thời và tự động mở pull request cập nhật dependencies, tương tự Dependabot nhưng có tính mở rộng cao hơn nhờ hỗ trợ nhiều hệ sinh thái và ít phụ thuộc vào GitHub.

Những lập trình viên yêu thích tự động hóa và mở rộng khả năng của GitHub nên đọc bài này vì Renovate không chỉ đơn giản là một công cụ bảo trì phiên bản mà còn là một công cụ mạnh mẽ, mở rộng được cho nhiều hệ sinh thái và tích hợp linh hoạt hơn Dependabot.

AI Pull Request Security: AST Audit Harness in GitHub Actions

Trong bối cảnh AI coding-agent ngày càng phổ biến, các pull request tự động tiềm ẩn rủi ro bảo mật. Nguyên nhân kỹ thuật là AI có thể tạo ra code chứa prototype pollution trong AST, rò rỉ secret hoặc cho phép unsafe egress. Hệ quả là mã nguồn có thể bị thao túng, dữ liệu nhạy cảm bị lộ lọt hoặc ứng dụng bị tấn công từ xa. Bài trình bày một CI/CD audit harness sử dụng GitHub Actions để kiểm tra trước khi merge, với các công cụ tĩnh phân tích AST. Điều đáng học là cách kết hợp static analysis với quy trình CI/CD để phát hiện lỗ hổng bảo mật do AI tạo ra một cách tự động.

Bài viết giúp lập trình viên xây dựng hệ thống kiểm tra tự động bảo mật cho pull request do AI tạo ra trên GitHub Actions, ngăn chặn các lỗ hổng prototype pollution, rò rỉ bí mật và kết nối không an toàn.

GitHub has another tough day

Vào ngày 6 tháng 8 năm 2026, GitHub gặp sự cố nghiêm trọng khi GitHub Actions bị suy giảm hoạt động trong khoảng 9 giờ. Báo cáo sự cố công khai của GitHub cho biết nguyên nhân liên quan đến tình trạng bão hòa (saturation) hệ thống.

Đọc bài này để hiểu cách các hệ thống cloud lớn như GitHub xử lý áp lực từ hàng nghìn yêu cầu đồng thời, giúp bạn dự đoán và thiết kế hệ thống chịu tải tốt hơn trong thực tế công việc.

How I Migrated My Website to Cloudflare and Saved $228

Tác giả đã chuyển website từ Netlify (19 USD/tháng) sang Cloudflare Pages, giữ nguyên repo và pipeline GitHub Actions, tiết kiệm được 228 USD.

Lập trình viên nên đọc bài này để khám phá cách chuyển đổi sang Cloudflare Pages có thể tiết kiệm chi phí hosting hàng tháng mà vẫn duy trì hiệu suất và tính bảo mật cao, giúp tối ưu hóa ngân sách cho dự án của họ.

Enforcing Architecture with rgctl Policy Checks

Bối cảnh rgctl là công cụ mã hóa codebase thành knowledge graph và cho phép thực thi quy tắc kiến trúc thông qua file policy JSON. Nguyên nhân kỹ thuật giải quyết vấn kiến trúc trong các dự án lớn như Java EE monolith CoolStore WebLogic với bốn loại vi phạm: ScaleFailure, CascadeHazard, DomainIsolation, SanitizationBypass. Hệ quả giúp kiểm tra cả toàn bộ codebase hoặc blast radius của hàm riêng biệt, hỗ git-aware scoping và tích hợp GitHub Actions. Điều đáng học là cách triển khai từ permissive đến strict thresholds trong nhiều tuần với các tham số như max_impact_nodes, centrality_alert_threshold, forbidden_crossings, node_domains.

Bài viết này giúp lập trình viên tự động kiểm tra và thực thi quy tắc kiến trúc codebase qua công cụ rgctl, nâng cao chất lượng phần mềm hiệu quả.

Useful Things Agents Can Do That Are Not Writing Code

Bối cảnh ngày càng nhiều lập trình viên sử dụng AI agent nhưng tập trung chủ yếu vào việc viết code. Nguyên nhân kỹ thuật là các agent hiện nay có khả năng xử lý nhiều task phức tạp hơn việc chỉ generate code, như phân tích tài liệu, debug và tự động hóa test. Hệ quả là việc bỏ qua các chức năng này làm giảm hiệu suất làm việc và bỏ lỡ cơ hội tối ưu quy trình phát triển. Điều đáng học là các tool như GitHub Copilot hay Cursor đã tích hợp thêm tính năng giúp agent có thể hỗ trợ code review, viết documentation, hoặc tự động hóa việc deployment, giúp giải quyết các vấn đề ngoài cốt lõi viết code.

Bài viết này giúp lập trình viên khám phá các ứng dụng thực tế của AI agent ngoài việc viết code, mở rộng khả năng làm việc thông minh hơn.

GitHub Actions

GitHub Actions giúp tự động hóa kiểm thử, phát hiện vấn đề tương thích và tạo quy trình pull request an toàn. Kỹ thuật này giải quyết vấn đề kinh điển "chạy được trên máy mình" bằng cách chạy kiểm thử trên môi trường chuẩn hóa qua các runner hoặc Docker container. Hệ quả là giảm thiểu lỗi liên quan đến environment khác biệt và tăng tốc độ review code nhờ kiểm tra tự động. Bạn nên đọc bài gốc để tìm hiểu cụ thể cách thiết lập workflow YAML sử dụng các actions như checkout, setup-node, và run để tích hợp CI/CD vào repository GitHub.

GitHub Actions giúp tự động hóa kiểm thử, phát hiện vấn đề tương thích và tạo quy trình pull request an toàn hơn.

GitHub $1T

Bối cảnh: GitHub, nền tảng hosting code lớn nhất thế giới, đã bị Microsoft mua lại với giá 7.5 tỷ USD vào năm 2018. Nguyên nhân kỹ thuật: GitHub thành công nhờ mô hình Git, hệ thống control code phi tập trung, và ecosystem rộng lớn với các công cụ như GitHub Actions, Copilot. Hệ quả: Giá trị của GitHub được ước tính lên tới 1 nghìn tỷ USD nếu vẫn độc lập, vượt xa các thương vụ M&A lớn khác của Microsoft như LinkedIn hay LinkedIn. Điều đáng học: Sự đầu tư vào developer platforms có thể tạo ra giá trị khổng lồ, chứng tỏ tầm quan trọng của hệ sinh thái developer trong công nghệ hiện đại.

Bài này phân tích giá trị tiềm năng khổng lồ của GitHub nếu vẫn độc lập, cho thấy tầm quan trọng của các nền tảng phát triển trong thời đại số.

Microsoft confirms GitHub is down worldwide

GitHub gặp sự cố toàn cầu khiến một số dịch vụ như website, API, Actions, Pull Requests ngừng hoạt động do lỗi lan rộng.

Lập trình viên nên đọc để hiểu cách xử lý và khắc phục các vấn đề về độ ổn định, hiệu suất của công cụ làm việc cộng đồng quan trọng như GitHub, từ đó cải thiện kiến thức về quản lý dự án và ứng dụng công nghệ cloud.

A deep dive into GitHub Actions

Bài viết giới thiệu GitHub Actions là nền tảng CI/CD tích hợp sẵn trong GitHub, cho phép định nghĩa quy trình qua file YAML workflow. Giải thích chi tiết về runner (self‑hosted và GitHub‑hosted), cách job graph được xây dựng từ các bước (steps) và phụ thuộc (needs), cũng như cách lưu trữ artefacts và sử dụng cache để tăng tốc build. Điểm mạnh là khả năng bảo mật qua secrets, OIDC token và môi trường isolated, đồng thời hỗ trợ triển khai (deploy) tới các dịch vụ như Azure, AWS, Kubernetes và công cụ debug qua log thực time và công cụ replay. Bài cũng chỉ ra các hạn chế phổ biến như thời gian chạy tối đa của runner miễn phí, giới hạn kích thước cache và chi phí khi sử dụng self‑hosted runner ở quy mô lớn. Từ đó, tác giả khuyên equipe nên thiết kế workflow mô-đun, tận dụng cache và artifacts hợp lý, kiểm soát secrets qua môi trường và theo dõi sử dụng runner để tối ưu chi phí và độ tin cậy của pipeline.

Bài này cung cấp hướng dẫn toàn diện giúp bạn tối ưu hóa quy trình CI/CD với GitHub Actions cho dự án của mình.

Run AI Agents in GitHub Actions with Docker Sandboxes

Bài viết mô tả cách tích hợp các AI agent vào workflow GitHub Actions bằng cách chạy chúng trong môi trường Docker sandbox. Mỗi agent được cô lập trong container riêng, cho phép sử dụng Testcontainers để khởi động các dịch vụ phụ trợ (database, message broker) mà không ảnh hưởng đến runner chính. Trong demo, agent tự động chạy bộ test Testcontainers, phát hiện lỗi, sửa mã và mở một pull request nháp trực tiếp từ workflow. Việc dùng Docker sandbox giúp giảm thiểu xung đột phụ thuộc và đảm bảo môi trường kiểm tra nhất quán giữa các lần chạy. Điều này cho thấy việc kết hợp GitHub Actions, Docker và AI agent có thể tự động hoá quy trình phát triển và kiểm thử, nhưng cần quan tâm đến giới hạn thời gian và chi phí chạy container.

Bài viết này giúp bạn cách triển khai AI agents trong GitHub Actions với Docker Sandboxes, tự động hóa việc chạy test, sửa code và tạo pull requests.

Windows 11 arm64 VS2026 image generally available

GitHub-hosted runners đã ra mắt hình ảnh Windows 11 arm64 với Visual Studio 2026, truy cập qua runs-on: windows-11-vs2026-arm. Hình ảnh windows-11-arm mặc định sẽ chuyển sang Visual Studio 2026 từ ngày 21/9/2026, có thể ảnh hưởng đến các workflow đang sử dụng Visual Studio 2022.

Lập trình viên nên đọc bài này để chuẩn bị cho sự chuyển đổi bắt buộc từ Visual Studio 2022 lên 2026 trên Windows 11 arm64 runner GitHub.

GitHub availability report: July 2026

Tháng 7 năm 2026, GitHub ghi nhận tám sự cố gây suy giảm hiệu suất trên các dịch vụ.

Lập trình viên nên đọc để hiểu cách quản lý và dự phòng các vấn đề về độ ổn định dịch vụ quan trọng trong công việc phát triển phần mềm, từ đó cải thiện kiến thức về việc xây dựng hệ thống chịu lỗi và đảm bảo chất lượng công cụ hỗ trợ phát triển.

From coder to orchestrator: How agents shift the role of a developer

Vai trò của nhà phát triển đang mở rộng từ viết code sang quản lý hệ thống phân phối, bao gồm cả việc sử dụng các tác nhân (agents) tự động. Sự thay đổi này sẽ được thảo luận tại sự kiện GitHub Universe.

Những công nghệ tự động hóa và agent AI đang thay đổi cách lập trình viên quản lý dự án, từ việc viết mã đến việc điều phối toàn bộ chuỗi cung ứng phần mềm, nên đọc để hiểu cách chuyển đổi này và cách ứng dụng vào công việc hiện tại.

Shift Left Security: 4 Automated Security Gates in GitHub Actions

Thêm bốn cổng bảo mật tự động vào GitHub Actions bằng các công cụ npm audit, Snyk, Trivy, CodeQL và OWASP ZAP mà không cần giấy phép doanh nghiệp.

Một lập trình viên nên đọc bài này để tìm hiểu cách triển khai các kiểm tra an ninh tự động hóa đơn giản, hiệu quả từ GitHub Actions, giúp phát hiện và ngăn chặn lỗ hổng mã nguồn ngay từ giai đoạn phát triển (shift left), mà không cần chi phí cao như các giải pháp doanh nghiệp.

Mastering Secure CI/CD for ECS with GitHub Actions

Tác giả xây dựng CI/CD workflow cho ECS trên Fargate bằng GitHub Actions. Bài tập trung vào triển khai secure CI/CD với AWS Security Hub integration và container image scanning. Quá trình bao gồm việc tự động hóa build, test và deployment với enhanced security controls. Các kỹ thuật cụ thể như custom OIDC provider và GitHub Secrets management được trình bày chi tiết để giảm dependency trên IAM credentials. Nếu bạn đang làm việc với ECS và GitHub Actions, bài viết cung cấp pattern hữu ích cho secure pipeline implementation.

Bài này giúp bạn xây dựng workflow CI/CD an toàn cho ECS trên Fargate bằng GitHub Actions.

How BigPay Increased Flutter Developer Velocity: Part 1 — CI/CD for Flutter Android

BigPay tập trung vào tối ưu hóa CI/CD cho ứng dụng Flutter Android để tăng tốc độ phát triển. Nguyên nhân chính do việc build ứng dụng trên Firebase CI mất tới 12 phút mỗi lần, làm giảm hiệu suất developer. Họ đã di chuyển build process sang GitHub Actions với Docker container, giúp giảm thời gian build xuống còn 4.5 phút - tiết kiệm 62.5% thời gian. Bài viết chia sẻ chi tiết cấu trúc GitHub Actions workflow và cách build Flutter app với Docker. Điều đáng học là cách tối ưu hóa CI/CD cho mobile app có thể tạo ra sự khác biệt lớn về productivity, đặc biệt với framework Flutter.

Bài viết này sẽ giúp bạn tối ưu quy trình CI/CD cho ứng dụng Flutter Android trên nền tảng BigPay.

Node 20 is no longer available in GitHub Actions

Node 20 is no longer available on GitHub Actions runners; runners now run JavaScript actions on Node 24, and the temporary ACTIONS_ALLOW_USE_UNSECURE_NODE_VERSION opt-out has been removed. Maintainers of JavaScript actions must update their runs.using field to node24 and publish a new release, and workflow authors should upgrade to action versions that support Node 24. Node 24 is incompatible with macOS 13.4 and earlier and does not officially support ARM32, so self-hosted runners on those platforms are no longer supported. This applies to github.com and GitHub with Data Residency.

Testing LLM Output in CI with Vitest and Schema Validation

Build deterministic, zero-cost CI evaluation suites for LLM applications in TypeScript using Vitest, replay fixtures, and Zod schema contracts.

Developers want more efficient software. Here’s what over 1000 GitHub users told us they need.

New research from GitHub and Yale Program on Climate Change Communication finds strong demand for guidance that can help developers reduce wasted compute.

Preventing secret leakage in CI/CD environments

Secrets leakage in CI/CD environments is rarely caused by one dramatic failure. More often, it is the result of small design choices that add up: a token stored in the wrong place, a verbose build log, a shared runner with…

npm Supply-Chain Attack Abuses Trusted Publishing to Ship GHAPPIER Loader

Attackers compromised an npm maintainer account and shipped the GHAPPIER loader with valid provenance signatures. Details on the @dforge-core/dforge-mcp compromise and how to respond.

GitHub Actions alternative: Run Actions on CircleCI (open preview)

GitHub Actions outages and queue times are pushing teams to look elsewhere. CircleCI now runs your existing GitHub Actions YAML directly, with 40% faster builds.

Scale CI for Agent PRs: Test Slicing & Impact Analysis in Actions

Fix CI saturation from high-frequency agent pull requests with AST change-impact analysis and speculative test slicing in GitHub Actions.

Replace Docker Access Tokens in GitHub Actions with an OIDC Connection — Nick Janetakis

GitHub Actions thường sử dụng Docker Access Tokens để truy cập registry, tạo ra rủi ro bảo mật khi phải quản lý token có thời gian sống dài. Bài hướng dẫn chi tiết cách thay thế Docker Access Tokens bằng kết nối OIDC (OpenID Connect) trong GitHub Actions, giúp loại bỏ hoàn toàn nhu cầu quản lý token. Với OIDC, bạn có thể thiết lập các quy tắc kiểm soát truy cập granular, ví dụ như chỉ cho phép workflow cụ thể truy cập repository nhất định. Phương pháp này không chỉ tăng cường bảo mật mà còn đơn giản hóa quản lý credentials, giảm thiểu rủi ro leak token. Lập trình viên làm việc với GitHub Actions nên xem xét áp dụng OIDC để thay thế phương thức quản lý token truyền thống.

Bài viết này giúp bạn loại bỏ token Docker dài hạn và sử dụng kết nối OIDC an toàn hơn trong GitHub Actions.

Unfinished Work in Package Security

Bối cảnh về vấn đề bảo mật package ngày càng phức tạp khi lượng dependencies tăng nhanh. Nguyên nhân kỹ thuật là cơ chế signing của npm và yarn hiện tại chỉ đảm bảo integrity chứ không ngăn chặn tampering dependencies. Hệ quả là các tấn công supply chain như malicious package vẫn xảy ra dù package đã được ký. Bài viết phân tích cụ thể 4 phương án cải tiến: подписывание.sig, signed git commits, signed tag verification và signed provenance attestations, kèm ví dụ thực tế về breach của event-stream. Điều đáng học là việc cần thiết kế defense-in-depth thay vì chỉ dựa vào layer bảo mật đơn nhất.

Bài viết giải thích cách tự bảo vệ package khỏi mã độc và lỗ hổng bảo mật.

How to Port a Jekyll Blog Theme to Python: Lessons From Actually Doing It

Tác giả đã chuyển đổi theme Tufte-Jekyll sang Python sau theo dõi blog trong nhiều năm. Nguyên nhân kỹ thuật chính là muốn tận dụng cách trình bày thông tin độc đáo từ Edward Tufte - chuyên gia về data visualization. Hệ quả là tạo ra một hệ thống blog mới với khả năng render nhanh hơn nhờ sử dụng Python và Pelican framework. Bài viết mang lại bài học quý giá về việc tối ưu hóa hiệu suất khi porting code giữa các nền tảng khác nhau. Điều đáng học là việc hiểu rõ bản chất của theme gốc giúp tái tạo chính xác hơn trong môi trường mới.

Bài viết này sẽ giúp bạn nắm bắt kinh nghiệm thực tế về việc chuyển đổi theme Jekyll sang Python, mở rộng khả năng kỹ thuật của lập trình viên.

GitHub Actions leaking secrets when Miri output is cached

Empowering everyone to build reliable and efficient software.

Fixing Server Component Bundle Leaks in Next.js

Diagnose and prevent server-side modules and heavy dependencies from leaking into client-side JavaScript bundles in Next.js App Router applications.

GitHub Separates Who Writes Code From Who Runs Your CI

GitHub Actions lets admins control who and what triggers workflows. A default pull_request_target block starts Nov. 2. Here's what to check.

Build Automated PR Verification Gates for AI Code

Build a multi-tier GitHub Actions verification pipeline combining AST parsing, property-based, and mutation testing to catch AI logic flaws before review.

Happy Birthday, Shai-Hulud

It has been one year since Shai-Hulud made its first appearance on npm.

How to Prevent Poisoned GitHub Actions Dependencies

Your workflow uses actions/checkout@v4. Today, that tag points to a vetted release. Tomorrow, a compromised maintainer or attacker moves the tag to malicious code. Your pipeline runs it with access to

Ubuntu 26 generally available and latest migration

The Ubuntu 26.04 runner image for GitHub Actions is now generally available for both x64 and arm64, out of public preview and ready for production workflows. Between October 19 and November 19, 2026, the ubuntu-latest label will gradually migrate from Ubuntu 24.04 to Ubuntu 26.04, which may break workflows relying on tools or package versions that changed between the two releases. Teams can test against ubuntu-26.04 now, or pin workflows to ubuntu-24.04 if they are not ready to move.

Test GitHub Actions Locally with Act

Bạn có thể dùng act để chạy GitHub Actions trên local thay vì push lên remote repository. Công cụ này sử dụng Docker để mô phỏng môi trường GitHub Actions, giúp bạn kiểm tra workflow trước khi commit. Act hỗ trợ hầu hết các features của GitHub Actions như matrix builds, environment secrets và job dependencies. Việc này giúp tiết kiệm thời gian development và tăng hiệu suất workflow testing.

Act cho phép bạn chạy GitHub Actions ngay trên máy local với Docker, giúp tiết kiệm thời gian test và phát hiện lỗi sớm.

Bytes #521

A cure for cache-poison, Meta’s cannabis-infused database proxy, and how a hint of Marxism could fix open source.