Dependabot

GitHub 正式发布 Actions 工作流依赖锁文件功能，运行器按 actions.lock 中记录的提交哈希执行，标签或分支被篡改也不影响流水线。该机制同时锁定直接与传递依赖，配合 gh actions-lock 扩展、Dependabot 同步更新和管理员强制策略，弥补了手动固定 SHA 可读性差、无法覆盖复合 Action 依赖的短板。