GitHub 推出工作流依赖项锁定文件，将 Action 引用固定到经过验证的提交 SHA，确保 CI/CD 执行的可重现性和安全性。通过使用 gh actions-lock 扩展，仓库可以防止因可变的标签或分支导致的供应链攻击。
背景
GitHub Actions 工作流通常通过可移动的标签或分支引用第三方 Action，若上游引用被恶意篡改，可能引发供应链安全风险。
- 来源
- Lobsters
- 发布时间
- 2026年11月8日 04:27
- 评分
- 7.0 / 10
GitHub 推出工作流依赖项锁定文件，将 Action 引用固定到经过验证的提交 SHA，确保 CI/CD 执行的可重现性和安全性。通过使用 gh actions-lock 扩展，仓库可以防止因可变的标签或分支导致的供应链攻击。
GitHub Actions 工作流通常通过可移动的标签或分支引用第三方 Action，若上游引用被恶意篡改，可能引发供应链安全风险。