GitHub Actions: sabitlenen commit de incelenmeli
İncelenen workflow daha sonra farklı kod çalıştırırsa neyi onayladık? GitHub 14 Ekim’de workflow lockfile açık önizlemesini duyurdu. Commit ve sonraki güncellemeyi kimin inceleyeceğini belirleyin.
Önce kapsamı doğrulayın
Düzeltilmiş duyuru GitHub Enterprise Cloud, veri yerleşimli Enterprise Cloud, Team ve Free planlarını içeriyor. Bu bir önizleme. Resmi depo GHES desteğini dışlıyor ve 1.0 öncesi değişiklik uyarısı yapıyor. Tarihi ve uzantı sürümünü kaydedin.
Etiket ile onayı ayırın
Uzantı, katılan workflow action, geçişli bağımlılık ve yeniden kullanılabilir workflow commitleri için .github/workflows/actions.lock oluşturur. Hareketli ref sonrası sessiz kod değişimini azaltır; sabitlenen kodun güvenli olduğunu belgelemez.
İncelenebilir küçük bir değişiklikle başlayın
İşletim önerisi: üretim sırrı ve dağıtım yetkisi olmayan tek test workflow seçin. uses referanslarını, sahipleri ve amacı listeleyin. Workflow ve lockfile değişikliklerini aynı PR’da inceleyip gerçek çalıştırmayla ilişkilendirin; sonra kapsamı genişletin.
Güncellemeye sahip atayın
README içindeki gh actions-lock --verify dosya yazmadan kontrol eder. --verify-local çevrimdışı yapı kontrolüdür, güven doğrulaması değildir. CI ve kod incelemesini ayırın; sorumlu, durdurma ve geri dönüş ölçütlerini belirleyin. Bu makale için uzantı kurulmadı.
Duyuruya göre Dependabot katılan action sürümünü güncellerken ilgili lockfile kaydını aynı PR’da yeniler. Otomatik diff de incelenir. Önerimiz referans, commit, izin ve dış iletişim değişikliklerini birlikte kontrol etmektir.
Tekrarlanabilirlik güvenlik hükmü değildir. Anılan topluluk katkısı olay azalmasını veya evrensel uyumluluğu kanıtlamaz. Güncel README’yi okuyun; inceleme, sabitleme ve güncellemeye ayrı sorumlular atayın.
Resmi kaynaklar
15 Ekim 2026’da kontrol edildi; işletim önerileri ürün davranışından ayrıdır.