GitHub 正式发布 Actions 工作流依赖锁文件功能,通过 `.github/workflows/actions.lock` 固定直接与传递依赖的提交哈希,阻断分支/标签变更引发的供应链攻击。 支持所有主流版本,由 `gh actions-lock` CLI 扩展驱动,提供生成、验证与渐进式迁移能力。 关键观点:锁文件同时固化直接依赖与复合 Action 的传递依赖;运行时严格按锁文件执行,无视分支/标签更新;验证模式可作为 C