GitHub Actions теперь поддерживает lockfiles: хеш-пиннинг уходит в прошлое
Lock Your GitHub Actions
GitHub Actions получил поддержку workflow lockfiles, и теперь вместо ручного пиннинга на полный SHA можно указывать теги вида vX.Y.Z. Автор показывает, как установить расширение gh-actions-lock для gh CLI, сгенерировать файл actions.lock, проверить его в CI отдельной задачей и подключить zizmor — линтер безопасности, который с версии v1.32.0 тоже понимает lockfiles. Renovate и Dependabot уже поддерживают обновление таких файлов.
Потому что теги изменяемы и уязвимы к атакам на цепочку поставок, когда злоумышленник перенаправляет ранее безопасный тег на вредоносный код.