GitHub 官方 gh-actions-lock:把 Actions 依赖锁死到精确 commit
DanielLockyer · x · 2026-11-12
鉴于近期供应链安全问题频发，作者推荐用 GitHub 官方 CLI 扩展 gh-actions-lock 锁定 GitHub Actions 工作流依赖。该工具生成并校验依赖 lockfile，把工作流用到的每个 action 都固定到精确 commit，防止 tag 被劫持或上游被篡改。
用法仅两步：gh extension install github/gh-actions-lock 安装，随后运行 gh actions-lock 即可。项目为 MIT 协议开源，目前约 353 stars。
所属事件:GitHub 官方推出 gh-actions-lock 锁定 Actions 依赖(2 条相关)→
「编程与Agent」频道最新
- Profound 联创深聊:营销 harness 把两周工作压到两小时 — soleio · 2026-11-12
- 基于实战发布 3 个产品沉淀的 44 个 agent skills 开源,GitHub 544 星 — PawelHuryn · 2026-11-12
- 不会写代码也能做产品:GitHub 免费技能带你 2-3 周上线 Agent 产品 — PawelHuryn · 2026-11-12
- Simular 发布 agent 专用电脑 box:一机跑 ChatGPT、Claude、Codex — _akhaliq · 2026-11-12
- 让 Agent 优化 zsh 启动时间，本地提速 22% — DanielLockyer · 2026-11-12
- 用 Codex/Claude Code 本地量化权重,研究者称第三方量化难审计 — DimitrisPapail · 2026-11-12