GitHub Actionsがロックファイルに対応、タグ固定の時代が終わる

Lock Your GitHub Actions

GitHub Actionsがワークフローのロックファイルを正式サポートした。これまでタグは書き換え可能でサプライチェーン攻撃の標的になるため、完全なSHAへの固定が推奨されてきた。gh CLI拡張のgh-actions-lockを使えば、ワークフロー内のアクションをvX.Y.Zタグのまま記述しつつ、解決済みのコミットSHAをactions.lockに記録できる。RenovateやDependabotも対応済みで、CIでの検証も可能だ。