GitHub Actions фиксирует коммиты зависимостей workflow в lockfile

В GitHub Enterprise Cloud и в облаке с data residency GitHub открыл публичное превью lockfile для зависимостей workflow: тег или ветка action после ревью может уехать на другой коммит, и следующий run выполнит другой код при том же YAML. Файл .github/workflows/actions.lock хранит проверяемые коммиты для actions, транзитивных зависимостей и reusable workflows — в самом workflow ссылки не трогаете.

Если action скомпрометирован, сдвинутый тег подмешает чужой код без правок в вашем репозитории. Lockfile страхует от неожиданных сдвигов зависимостей, но не отвечает на вопрос «безопасна ли сама зависимость» — сначала ревью, потом фиксация.

Что в превью

• Фиксация зависимостей: генерация actions.lock с коммитами для actions, их транзитивных зависимостей и reusable workflows.
• Постепенное подключение: onboarding workflow по одному; после него у каждой зависимости должна быть запись в lockfile, иначе run не стартует.
• Стабильные запуски: Actions берёт записанный коммит, даже если тег или ветка сдвинулись.
• Проверка актуальности: lockfile можно сверить без правки файлов — в том числе отдельным CI-check.

Расширение gh actions-lock для GitHub CLI создаёт и обновляет lockfile. Политика Require lockfile тоже в превью: админы enterprise, организации или репозитория могут требовать lockfile на своём уровне.

Dependabot и старт

Для уже подключённых workflow Dependabot при обновлении action в том же pull request пересобирает запись в lockfile — ссылка в workflow и зафиксированный коммит остаются в одном PR без дополнительной настройки. Старт: установить расширение из репозитория gh-actions-lock, просмотреть сгенерированный lockfile и закоммитить его вместе с правками workflow; детали — в GitHub Docs по workflow dependency lockfiles.

Источник: GitHub Actions workflow lockfiles in public preview.