GitHub Actions: зависимости по lock-файлу
Командам с GitHub Actions станет проще проверять, какой именно код запускается в автоматизации. 14 октября 2026 года GitHub объявила публичное preview lock-файлов зависимостей workflow для Free, Team и Enterprise Cloud, включая вариант с размещением данных в выбранном регионе. Это предварительная возможность, не стабильный выпуск для всех продуктов GitHub.
Тег остаётся, коммит фиксируется
Тег или ветка стороннего action могут переместиться после проверки. Lock-файл сохраняет конкретный коммит: подключённый workflow выполняет зафиксированный код, а не просто текущее содержимое ссылки. При этом фиксация не делает небезопасную зависимость безопасной — сначала нужно проверить сам код.
Файл .github/workflows/actions.lock создаётся расширением gh actions-lock для GitHub CLI. Workflow можно подключать по одному. По документации GitHub, охват включает транзитивные actions, но у вызываемого reusable workflow зависимости контролируются lock-файлом репозитория, где он определён. Один файл вызывающего проекта не заменяет эту границу.
Что проверить перед внедрением
Редакционная рекомендация: начните с отдельной ветки и одного небоевого workflow без секретов. До слияния проверьте изменения workflow, выбранные коммиты и исходные репозитории; успешный запуск не заменяет ревью зависимостей. Не включайте обязательное применение сразу для всей организации. До принятия изменений можно закрыть тестовый запрос на слияние, сохранив прежний процесс.
Ограничения preview
В официальном README расширения прямо указаны стадия до версии 1.0, возможные изменения формата и команд, а также отсутствие поддержки GitHub Enterprise Server. Не считайте preview готовым для любой конфигурации. Расширение требует установленного GitHub CLI; настройку выполняйте по актуальной документации, не редактируйте lock-файл вручную.
Материал проверен по анонсу и документации 18.10.2026, без установки расширения и запуска workflow. Обложка — концептуальная иллюстрация, не снимок проведённого теста.
Новые слова простыми словами
- Lock-файл
- Файл, фиксирующий точные версии зависимостей, которые должны использоваться при запуске.
- Транзитивная зависимость
- Зависимость не вашего workflow напрямую, а другого подключённого им компонента.
Проверяемые источники
Комментарии (0)
Комментариев пока нет