لاک‌فایل GitHub Actions برای امنیت وابستگی‌ها عرضه شد
GitHub Actions با لاک‌فایل وابستگی‌ها، اجرای اکشن‌های مستقیم و غیرمستقیم را به کامیت‌های مشخص محدود می‌کند و امنیت زنجیره تأمین را بالا می‌برد.
GitHub Actions قابلیت لاک‌فایل وابستگی‌های ورک‌فلو را از ۲۸ اکتبر ۲۰۲۶ به‌صورت عمومی عرضه کرد. این قابلیت، اکشن‌ها را حتی اگر با تگ یا نام شاخه ارجاع داده شده باشند، به کامیت مشخص ثبت‌شده در فایل .github/workflows/actions.lock متصل می‌کند.
تگ‌هایی مانند actions/checkout@v4 یا شاخه‌ها ممکن است بعداً تغییر کنند و کد مخرب را وارد پایپ‌لاین کنند. لاک‌فایل علاوه بر وابستگی‌های مستقیم، وابستگی‌های غیرمستقیم اکشن‌های ترکیبی را هم ثبت می‌کند؛ بدون اینکه خوانایی ارجاع‌های تگ و شاخه در فایل ورک‌فلو از بین برود.
افزونه gh actions-lock برای GitHub CLI ساخت و نگهداری این فایل را انجام می‌دهد و حالت بررسی آن می‌تواند اختلاف میان ورک‌فلو و لاک‌فایل را در CI تشخیص دهد. تیم‌ها می‌توانند ابتدا پایپ‌لاین‌های حساس، مانند انتشار و استقرار، را وارد این فرایند کنند. Dependabot نیز هنگام به‌روزرسانی اکشن، ورودی متناظر لاک‌فایل را در همان پول‌ریکوئست تغییر می‌دهد.
مدیران سازمان، مخزن و Enterprise می‌توانند سیاست «الزام لاک‌فایل» را فعال کنند. با این حال، لاک‌فایل فقط تضمین می‌کند کامیت انتخاب‌شده اجرا شود و سالم‌بودن آن را تأیید نمی‌کند؛ بنابراین بررسی پول‌ریکوئست‌های Dependabot همچنان حیاتی است. این تغییر در ادامه سخت‌گیری‌های امنیتی دیگر GitHub Actions ارائه شده است.
منبع: InfoQ
پروژه‌ای در این زمینه دارید؟
مشاوره‌ی اولیه و برآورد هزینه رایگان است.
