锁定你的 GitHub Actions

6.5 · 一般工具 · Hacker News 首页（全量，由 AI 筛选） · 2026-11-12 · AI: DeepSeek 6.5 ✓

GitHub Actions 现已支持 workflow lockfile，可替代此前将 action 固定到完整 SHA 的做法，防止可变 tag 被指向恶意代码的供应链攻击。文章介绍了用 gh-actions-lock 扩展生成并提交 actions.lock、Renovate 与 Dependabot 对 lockfile 的支持，以及在 CI 中校验 lockfile 和用 zizmor 做安全 lint 的方法。

对独立开发者意味着什么：用 GitHub Actions 做 CI 的独立开发者可借此降低第三方 action 的供应链风险，配置成本不高。