gh-actions-lock

GitHub 正式发布 Actions 工作流依赖锁文件功能，运行器按 actions.lock 中记录的提交哈希执行，标签或分支被篡改也不影响流水线。该机制同时锁定直接与传递依赖，配合 gh actions-lock 扩展、Dependabot 同步更新和管理员强制策略，弥补了手动固定 SHA 可读性差、无法覆盖复合 Action 依赖的短板。

GitHub Actions 正式上线工作流锁文件功能，用于替代此前手动将 Action 固定到完整 SHA 的做法，以防范标签被篡改引发的供应链攻击。作者演示了通过 gh-actions-lock 扩展生成与维护锁文件的具体流程。该功能降低了 CI/CD 流水线的安全维护成本，对依赖 GitHub Actions 的开发者具有直接可用价值。