GitHub Actions 锁文件功能转正，覆盖直接与传递依赖锁定

2026-11-14 · 4 分钟阅读

GitHub 于 2026 年 10 月 28 日正式发布 GitHub Actions 工作流依赖锁文件功能，此前两周进入公开预览。该功能允许工作流保留标签和分支引用，运行时执行 .github/workflows/actions.lock 中记录的提交，即使引用后续变化也不受影响，并同时锁定直接依赖与传递依赖的提交哈希，解决引用可变和传递依赖无法固定的问题。功能覆盖企业云版、团队版和免费版，配套 gh actions-lock CLI 扩展支持生成、维护及不修改文件的验证模式，可作为 CI 门禁；Dependabot 更新 Action 时会同步更新锁文件条目。管理员可启用 “Require lockfile” 策略。GitHub 明确该机制仅保证运行锁定的提交，不保证其安全，需在锁定前审查。