GitHub Actions добавил lock-файлы для фиксации зависимостей

GitHub начал публичное тестирование lock-файлов для GitHub Actions. Они закрепляют зависимости за конкретными коммитами и предотвращают незаметную подмену кода после перемещения тега или ветки.

GitHub 14 октября 2026 года открыл публичное тестирование lock-файлов зависимостей для GitHub Actions. Функция доступна в GitHub Enterprise Cloud, включая облачную версию с резидентностью данных.

Новый механизм позволяет сохранить в файле рабочего процесса ссылку на тег или ветку, а при запуске выполнять код из конкретного зафиксированного коммита. Благодаря этому повторный запуск не получит другую версию действия без соответствующего изменения в репозитории.

Lock-файл защищает от перемещения ссылок

Теги и ветки могут начать указывать на другие коммиты уже после проверки рабочего процесса. В таком случае код внешнего действия изменится, хотя основной репозиторий останется прежним. Если зависимость скомпрометирована, перемещенная ссылка способна незаметно подключить вредоносный код к сборке.

Lock-файл связывает каждый запуск с выбранным коммитом и делает такое изменение контролируемым. При этом фиксация не подтверждает безопасность зависимости. Разработчикам по-прежнему необходимо изучать подключаемые действия до их закрепления.

Расширение gh actions-lock создает и обновляет файл

Для работы с новой функцией GitHub предлагает расширение gh actions-lock для GitHub CLI. Оно создает lock-файл и помогает поддерживать его в актуальном состоянии. Полученные изменения нужно проверить, после чего lock-файл и обновленный рабочий процесс можно добавить в репозиторий.

Администраторы предприятия, организации или отдельного репозитория могут включить требование Require lockfile. Этот режим также находится на стадии публичного тестирования и позволяет отклонять рабочие процессы без зафиксированных зависимостей.

Dependabot синхронизирует коммит с новой версией

Dependabot поддерживает lock-файлы в рабочих процессах, где функция уже подключена. Когда сервис формирует pull request для обновления версии действия, он одновременно обновляет соответствующую запись с коммитом. Ссылка на новую версию и ее зафиксированный коммит попадают в один запрос без дополнительной настройки.

Перед подключением команде стоит проверить тип учетной записи GitHub Enterprise Cloud, установить gh actions-lock, изучить используемые действия и просмотреть все сгенерированные изменения. Статус публичного тестирования означает, что механизм пока не следует считать окончательной стабильной версией.