别再哈希锁定 Action 了：改用 GitHub Actions 的新 lockfile
来源：hugovk.dev — 2026-11-11
📋 概述
GitHub Actions 现在支持 workflow lockfile。以前为防供应链攻击要把 action 钉到完整 SHA，可读性差又难维护。Hugo van Kemenade 演示了新流程：装 gh-actions-lock 扩展、跑 gh actions-lock 生成 .github/workflows/actions.lock、workflow 里改回 vX.Y.Z 标签，再在 CI 里加一个 --verify 的 job 检查一致性。Renovate 与 Dependabot 已经支持 lockfile，zizmor 从 v1.32.0 起也不再多嘴让你哈希锁定。
🔑 核心要点
- lockfile 记录每个 action 的 ref 与 commit SHA，外加 owner_id/repo_id
- workflow 里可以写回 actions/checkout@v7.0.1 这样的可读标签，SHA 交给 lockfile
- 校验 job 跑 gh actions-lock --verify，漂移或上游校验失败就让 CI 变红
- 校验跑在 ubuntu-slim 轻量 runner 上，与 lint job 并行
- 改完 workflow 要重新 lock，新建文件尤其容易漏
💡 金句
标签是可变的，而可变的标签正是供应链攻击的入口。
← 返回 Lobsters 首页
👍 0
👎 0