재현성과 보안을 위한 GitHub Actions 고정

Source: Dev.to

버전 태그가 안전하지 않을 수 있는 이유

actions/checkout@v5와 같은 버전 태그는 가변적입니다—유지 관리자가 태그를 이동하거나, 재배포하거나, 강제로 푸시할 수 있습니다. 이는 여러분이 아무런 변경을 하지 않아도 내일은 워크플로우가 다른 코드를 실행하게 될 수 있음을 의미합니다.

커밋 SHA에 고정하기

액션을 특정 커밋 SHA에 고정하면 매번 정확히 동일한 코드를 사용한다는 것이 보장됩니다.

# 특정 태그(예: v5.0.1)의 SHA를 가져오기
gh api repos/actions/checkout/commits/v5.0.1 --jq '.sha'

그런 다음 워크플로우에서 SHA를 참조합니다:

- uses: actions/checkout@93cb6efe18208431cddfb8368fd83d5badbf9bfd # v5.0.1

더 자세한 내용은 전체 기사를 읽어보세요.