GitHub 官方推出 gh-actions-lock 锁定 Actions 依赖

针对近期频发的供应链投毒与安全事件，GitHub 官方推出 CLI 扩展工具 gh-actions-lock，可通过 gh extension 一键安装使用。该工具能为 GitHub Actions 工作流生成并校验依赖锁定文件，将全部依赖固定到精确的 commit，防止依赖被篡改。多位开发者如 Daniel Lockyer 已推荐将其作为工作流安全防护手段。

2026-11-12 ~ 2026-11-12 · 2 条相关

• GitHub 官方发布 gh-actions-lock，一键锁定工作流全部依赖防投毒 — DanielLockyer · 2026-11-12
• GitHub 官方 gh-actions-lock:把 Actions 依赖锁死到精确 commit — DanielLockyer · 2026-11-12