锁定 GitHub Actions 以实现可复现性和安全性

Source: Dev.to

为什么版本标签可能不安全

像 actions/checkout@v5 这样的版本标签是可变的——维护者可以移动它们、重新发布，甚至强制推送。这意味着你的工作流可能在明天运行不同的代码，而你这边并没有做任何更改。

锁定到特定的提交 SHA

将 Action 锁定到特定的提交 SHA 可以保证每次使用的代码完全相同。

# Get the SHA for a specific tag (e.g., v5.0.1)
gh api repos/actions/checkout/commits/v5.0.1 --jq '.sha'

然后在工作流中引用该 SHA：

- uses: actions/checkout@93cb6efe18208431cddfb8368fd83d5badbf9bfd # v5.0.1

想了解更深入的内容，请阅读完整文章。