GitHub Actions 的工作流程鎖定檔功能正式推出，從公開預覽畢業。寫工作流程時，大家習慣用版本標籤引用別人的 action，但標籤背後指到的程式碼可能被偷換掉，鎖定檔就是用來解決供應鏈風險。
做法是用 gh actions-lock 這個 CLI 擴充功能，產生 actions.lock 檔案記錄每個 action 鎖定的提交版本。團隊可以逐個流程導入，之後 Dependabot 更新 action 時也會自動同步鎖定檔內容。
這個功能從公開預覽進到正式推出，能在 Enterprise Cloud、Team、Free 等方案使用。最受關注的是跟 Dependabot 自動串接，省掉手動更新鎖定檔的麻煩，也有機制能在 CI 裡檢查鎖定檔是否過期。
對正在學 GitHub Actions 或 CI/CD 的孩子來說，這是個具體例子：用別人寫好的程式雖然方便，但也要小心程式碼被偷換掉的風險。鎖定版本、確認來源，是軟體工程裡很基本的習慣，越早養成越好。
開發工具開源平台功能資安