GitHub Actions: commit đã khóa vẫn cần được review
Ta đã duyệt gì nếu workflow được review sau đó chạy mã khác? GitHub công bố xem trước công khai lockfile ngày 14 tháng 10. Cần chỉ định người review commit và lần cập nhật tiếp theo.
Kiểm tra phạm vi trước
Thông báo đã sửa gồm GitHub Enterprise Cloud, Enterprise Cloud có data residency, Team và Free. Đây là bản xem trước. Kho chính thức không hỗ trợ GHES và cảnh báo thay đổi trước 1.0. Ghi ngày và phiên bản tiện ích.
Tách tag khỏi commit đã duyệt
Tiện ích tạo .github/workflows/actions.lock cho commit của action, phụ thuộc bắc cầu và workflow tái sử dụng đã tham gia. Giảm thay đổi mã âm thầm khi ref di chuyển, nhưng không bảo đảm mã đã khóa an toàn.
Bắt đầu bằng thay đổi nhỏ dễ review
Đề xuất vận hành: chọn một workflow thử không có bí mật production hay quyền triển khai. Liệt kê uses, chủ sở hữu và mục đích. Review workflow và lockfile trong cùng PR, nối với lần chạy thực tế rồi mới mở rộng chính sách.
Giao người phụ trách cập nhật
README có gh actions-lock --verify kiểm tra không ghi tệp. --verify-local chỉ kiểm tra cấu trúc ngoại tuyến, không thay xác minh độ tin cậy. Tách kết quả CI và review mã; quy định người phụ trách, điểm dừng và khôi phục. Bài này không cài tiện ích.
Theo thông báo, Dependabot tạo lại mục lockfile tương ứng trong cùng PR khi cập nhật action đã tham gia. Diff tự sinh vẫn phải review. Đề xuất là so sánh ref, commit, quyền và giao tiếp bên ngoài của mã mới.
Khả năng tái lập không phải kết luận an toàn. Đóng góp cộng đồng được nêu không chứng minh giảm sự cố hay tương thích mọi nơi. Đọc README hiện hành và phân công review, khóa, cập nhật.
Nguồn chính thức
Kiểm tra ngày 15 tháng 10 năm 2026; tách đề xuất vận hành khỏi tính năng sản phẩm.