GitHub Actions で checkout@v7 のようなバージョン指定を書くのはやめよう！ 時代は actions.lock！

Progate で業務委託エンジニアをしている横江( @yokoe24 )です！ セキュリティの話が重要視される昨今ですが、 みなさんは GitHub Actions の Workflow ファイルで、こんな書き方をしていませんか？ ・・・私は書いています！！🙈 この記事を書きながら、過去の個人リポジトリ、直さなきゃなぁ……って思っています。 @v7 と書くリスク npm の件などで敏感になっている方はお気付きかもしれませんが、 @v7 のような書き方は、最新の v7.x.x に追従でき便利な一方[1]、 攻撃者が公開した、悪意のあるバージョンをインストールしてしまう危険を孕みます。 仮に actions/checkout が攻撃されて、 会社の非公開コードを攻撃者へ送信する Action になったら大変ですよね！ 調べたところ、過去の事件としては 2026年3月に脆弱性スキャナー「Tr

[Cherenkov]

なんでこんなに利用者負担させるんだろう

[hinaloe]

Renovateはプレビュー対応してるけどこれ結局結果としてv7で書くのが許されるようになってる説はある

[atsushieno]

renovate等で更新の通知が無ければ「脆弱な古いバージョン」を使い続けるんじゃないの?　更新の通知が来たときに更新内容をメッセージだけでなくコードまできちんと確認してる?　エイリアスとどっちが信頼性が高い?

[ao41]

いまメンテしてるやつは導入していく

[syu-m-5151]

外側のActionをSHA固定しても、内部の依存が可変タグなら変更は入り込む。actions.lockで推移的依存まで固定できるのが肝だ。ただし固定は安全性の審査ではない。更新する差分の確認は残る。

[sakuro]

renovateは対応してるのかな?

[nguyen-oi]

タグ指定だと改ざんリスクあるからハッシュ固定かactions.lock使えって話ね。CI周りのセキュリティ改善助かる