GitHub Actions 锁定机制：告别 SHA 哈希

Lock Your GitHub Actions

GitHub Actions 现已正式支持 workflow lockfiles，这意味着我们不再需要手动将 Action 锁定在冗长的 SHA 哈希值上。过去，由于标签（tags）可被篡改，我们不得不依赖 SHA 来防御供应链攻击，但这给维护带来了巨大负担。现在，通过安装 gh-actions-lock 扩展，你可以一键生成 actions.lock 文件，让工作流既使用易读的 vX.Y.Z 版本标签，又通过锁文件确保底层提交哈希的不可变性。Renovate 和 Dependabot 已原生支持此功能，配合 zizmor 安全扫描，能构建更健壮且易于维护的 CI/CD 流程。