GitHub Actions 锁定文件正式发布，守护工作流依赖安全
GitHub 于 2026 年 10 月 28 日正式发布 GitHub Actions 工作流依赖锁定文件，距该功能进入公开预览仅两周。锁定文件可让工作流为依赖项固定明确的标签和分支引用。这之所以重要，是因为锁定依赖能降低 CI/CD 流水线中的供应链风险，而这正是常见的攻击入口。
报道来源
- InfoQ 中文站2026-11-06 09:00
GitHub 于 2026 年 10 月 28 日正式发布 GitHub Actions 工作流依赖锁定文件，距该功能进入公开预览仅两周。锁定文件可让工作流为依赖项固定明确的标签和分支引用。这之所以重要，是因为锁定依赖能降低 CI/CD 流水线中的供应链风险，而这正是常见的攻击入口。