Компьютеры · Инструкция
Как закрепить GitHub Action на полный commit SHA
Тег или branch action может со временем указывать на другой commit, поэтому supply-chain hardening требует более жёсткой
Короткий ответ
Вместо `uses: owner/action@vX` укажите полный commit SHA проверенного коммита action. GitHub называет pinning на full-length SHA единственным способом использовать action как неизменяемую ссылку.
Что делать
- Откройте официальный репозиторий action и найдите release/tag, который хотите использовать.
- Определите полный commit SHA именно в исходном action repository, а не в fork.
- Замените `uses: owner/action@tag` на `uses: owner/action@<full_sha>`.
- Оставьте комментарий с читаемой версией/tag рядом для обслуживания.
- Настройте Dependabot или другой контролируемый процесс обновления SHA.
- Проверьте workflow после обновления.
Важно
- Не копируйте SHA из непроверенного fork.
- Pin на SHA снижает риск подмены ref, но не заменяет review самого action и его permissions.
Что учитывать
Не копируйте SHA из непроверенного fork.,Pin на SHA снижает риск подмены ref, но не заменяет review самого action и его permissions.
Источники и проверка
Фактическая часть сверена по первичным источникам (в т.ч. Secure use reference). Пример и формулировки — редакция N1RO на 2026-09-18.