GitHub Actionsにロックファイルが来るぞ - Qiita

3行まとめ GitHub Actionsの依存関係はコミットSHAでバージョンをピン留めした方がよい しかし従来サポートされていた方法は扱いづらかった 公式の「gh actions-lock」コマンドを利用すると楽 従来のGitHub Actionsバージョン管理 GitHub Actionsの依存関係はバージョン指定とコミットSHA指定の2種類があり、後者の方が推奨されています。 バージョン指定の方法では、攻撃者にタグやブランチの参照が上書きされた場合に、悪意のあるコードが混入するリスクがありました。こうしたサプライチェーン攻撃対策のため、コミットSHAの指定が推奨されています。 一方で、コミットSHAによるピン留め方法にはいくつか問題がありました。 問題1: 依存先のActionの内部がコミットSHAでピン留めされているとは限らない 以下のような場合を考えます。あなたが管理しているリポ

[igrep]

あ、ロックファイルってそういう... てっきり排他制御の方かと思ってたw

[tmatsuu]

現在Technical Preview。gh extension install github/gh-actions-lock

[sd-craft]

SHA疑問に感じながら使ってたのでよさそう

[nguyen-oi]

SHA手動更新の苦行から解放されるなら普通に助かるな