GitHub Actions: anche il commit bloccato va revisionato
Che cosa abbiamo approvato se un workflow revisionato esegue poi codice diverso? GitHub ha annunciato l’anteprima pubblica dei lockfile il 14 ottobre. Occorre assegnare la revisione del commit e del prossimo aggiornamento.
Controllare la disponibilità
L’annuncio corretto include GitHub Enterprise Cloud, Enterprise Cloud con residenza dei dati, Team e Free. È un’anteprima. Il repository ufficiale esclude GHES e avverte di cambiamenti prima di 1.0. Registrare data e versione dell’estensione.
Distinguere tag e approvazione
L’estensione genera .github/workflows/actions.lock per commit di action, dipendenze transitive e workflow riutilizzabili dei workflow inclusi. Riduce cambiamenti silenziosi quando si spostano riferimenti, ma non certifica la sicurezza del codice fissato.
Partire da una modifica verificabile
Proposta operativa: scegliere un workflow di test senza segreti di produzione o autorità di deployment. Inventariare riferimenti uses, responsabili e scopo. Revisionare insieme workflow e lockfile e collegare la revisione all’esecuzione prima di imporre una regola generale.
Assegnare gli aggiornamenti
Il README documenta gh actions-lock --verify senza scrittura. --verify-local controlla offline la struttura, senza sostituire una verifica di affidabilità. Separare CI e revisione del codice; definire responsabile, arresto e ripristino. Non abbiamo installato estensioni per questo articolo.
Secondo l’annuncio, Dependabot rigenera la voce corrispondente del lockfile nello stesso PR quando aggiorna action già incluse. Anche il diff generato richiede revisione. Proponiamo di confrontare riferimento, commit, permessi e comunicazioni esterne del nuovo codice.
La riproducibilità non è un giudizio di sicurezza. I contributi della comunità citati non provano riduzioni degli incidenti o compatibilità universale. Consultare il README attuale e assegnare revisione, blocco e aggiornamento.
Fonti ufficiali
Verificato il 15 ottobre 2026; proposte operative separate dalle funzioni del prodotto.