GitHub הכריזה על זמינות כללית של Workflow Dependency Lockfiles ב-GitHub Actions. התכונה מאפשרת להמשיך לכתוב בקובצי workflow הפניות קריאות לתגיות או לענפים, אך להריץ בפועל את הקומיט המדויק שנשמר בקובץ הנעילה.
המטרה היא לצמצם סיכון בשרשרת האספקה: הפניה כמו actions/checkout@v4 נוחה לקריאה, אך תג או branch יכולים להשתנות. Lockfile מוסיף שכבת קיבוע בלי להפוך את קובצי ה-YAML לרשימות ארוכות של SHA.
איך זה עובד?
הרחבת gh actions-lock ל-GitHub CLI סורקת את ה-workflows ומייצרת את הקובץ .github/workflows/actions.lock. הקובץ כולל את הקומיטים המדויקים של ה-Actions ושל התלויות הטרנזיטיביות שלהם.
לאחר שמצרפים workflow למנגנון, GitHub דורשת שכל תלות בו תופיע בקובץ הנעילה ומריצה את הקומיט שנרשם. כאשר Dependabot פותח עדכון גרסה ל-Action, הוא מעדכן גם את רשומת ה-lockfile באותו Pull Request.
מה נוסף בגרסת GA?
- אפשר לאמץ את הנעילה בהדרגה, workflow אחר workflow.
- מנהלי Enterprise, ארגון או repository יכולים לחייב Lockfile במדיניות.
- ניתן לבדוק ב-CI אם קובץ הנעילה מיושן, בלי לשנות קבצים.
- Dependabot מסנכרן את התלות ואת רשומת הנעילה באותו PR.
- התכונה זמינה ב-Enterprise Cloud, Team ו-Free.
Lockfile אינו תחליף לבדיקת ספק
GitHub מדגישה שהקיבוע מגן מפני שינוי בלתי צפוי בתלות, אך אינו מוכיח שהקומיט בטוח. אם Action זדוני ננעל מלכתחילה, קובץ הנעילה ישחזר אותו באופן עקבי. לכן עדיין צריך לבדוק את מקור ה-Action, הרשאות ה-workflow, פעולות צד שלישי ועדכוני Dependabot.
צעדים מומלצים לצוותי DevOps
- להתקין את הרחבת
gh actions-lockולייצר Lockfile בסביבת בדיקה. - לסקור את רשימת התלויות הטרנזיטיביות לפני ה-commit הראשון.
- להתחיל ב-workflows בעלי הרשאות כתיבה, גישה לסודות או פריסה לייצור.
- להוסיף בדיקת stale lockfile ל-CI ולהפעיל עדכוני Dependabot.
- לאחר תקופת הסתגלות, לשקול מדיניות Require lockfile ברמת הארגון.
הגישה החדשה מחברת בין קריאות למפתחים לבין הרצה דטרמיניסטית. היא אינה מבטלת את הצורך ב-pin ובסקירת שינויים, אך הופכת את הקיבוע לתהליך שניתן לנהל ולעדכן בצורה מסודרת.
מקור
GitHub Changelog: Workflow lockfiles are generally available, פורסם ב-28 באוקטובר 2026.
קרדיט תמונה: Danny Meneses / Pexels. דף המקור. רישיון Pexels Free מתיר שימוש באתר, בסושיאל ובשיווק וכן עריכה; התמונה היא המחשה בלבד ואינה מעידה על קשר ל-GitHub או Microsoft.
