GitHub Actions

GitHub 正式发布 Actions 工作流依赖锁文件功能，运行器按 actions.lock 中记录的提交哈希执行，标签或分支被篡改也不影响流水线。该机制同时锁定直接与传递依赖，配合 gh actions-lock 扩展、Dependabot 同步更新和管理员强制策略，弥补了手动固定 SHA 可读性差、无法覆盖复合 Action 依赖的短板。

GitHub Actions 正式上线工作流锁文件功能，用于替代此前手动将 Action 固定到完整 SHA 的做法，以防范标签被篡改引发的供应链攻击。作者演示了通过 gh-actions-lock 扩展生成与维护锁文件的具体流程。该功能降低了 CI/CD 流水线的安全维护成本，对依赖 GitHub Actions 的开发者具有直接可用价值。

GitHub 于 2026 年 11 月 12 日发生多产品可用性下降事故，影响范围覆盖 Webhooks、Actions、Pages 及 Copilot 系列产品。官方状态页连续发布多条更新，确认正在调查中，尚未给出根因与恢复时间。对依赖 GitHub CI/CD 与 Copilot 编码助手的开发团队而言，这是一次直接影响交付链路的平台级中断。