GitHub Actions führt Lockfiles ein und beendet das SHA-Pinning
Lock Your GitHub Actions
GitHub Actions unterstützt jetzt Workflow-Lockfiles. Statt Actions manuell auf einen vollständigen SHA festzunageln, genügt der Befehl gh actions-lock, um Versions-Tags zu verwenden und die exakten Commits in einer actions.lock-Datei zu fixieren. Renovate und Dependabot aktualisieren die Lockfile automatisch, und der Security-Linter zizmor erkennt sie ab Version 1.32.0. Ein eigener CI-Job prüft, ob die Lockfile noch synchron ist.
Da GitHub Actions aus Git geladen werden, lautete der bisherige Rat, auf einen vollständigen SHA statt auf ein Tag zu setzen – denn Tags sind veränderbar und anfällig für Supply-Chain-Angriffe, bei denen ein Angreifer ein zuvor sicheres Tag auf bösartigen Code umbiegt.