14 октября GitHub открыл публичную предварительную версию файлов блокировки зависимостей GitHub Actions для Enterprise Cloud и Enterprise Cloud с хранением данных. Файл позволяет оставить в рабочем процессе ссылку на тег или ветку и при каждом запуске использовать закреплённый коммит.
Согласно документации GitHub, расширение gh actions-lock создаёт .github/workflows/actions.lock. Файл охватывает прямые и транзитивные зависимости действий, а также повторно используемые рабочие процессы. После подключения процесса каждая его зависимость должна присутствовать в файле; GitHub Actions запускает записанный коммит.
GitHub также добавил политику Require lockfile для администраторов предприятия, организации и репозитория. Dependabot обновляет соответствующую запись блокировки в том же запросе на слияние, когда меняет версию действия.
Репозиторий gh-actions-lock указывает, что расширение пока имеет версию ниже 1.0 и продолжает разрабатываться. GitHub Enterprise Server и действия по локальному пути пока не поддерживаются. Файл закрепляет выбранный код, но не проверяет безопасность самой зависимости.
