GitHub Actions фиксирует коммиты зависимостей workflow в lockfile
GitHub Actions фиксирует коммиты зависимостей workflow в lockfile В workflow-файле по-прежнему uses: vendor/action@v3, а на GitHub у тега уже другой коммит — завтрашний запуск может не совпасть с сегодняшним. Если CI крутится на Actions, это про вас: взломанный action подмешает код без правок в вашем репо. В превью для Enterprise Cloud GitHub фиксирует зависимости через actions.lock — ссылку в YAML не трогаете, раннер берёт записанный коммит. Расширение gh actions-lock генерирует файл; workflow без строки в lockfile после onboarding не стартует. Сгенерируйте lockfile, просмотрите diff и закоммитьте вместе с workflow. Dependabot при обновлении action в том же пулреквесте подтянет и lockfile — отдельная возня не нужна.
13 просмотров