GitHub Actions workflow lockfiles 公开预览：锁定依赖防篡改
GitHub Actions 工作流依赖锁文件（workflow dependency lockfiles）现面向 GitHub Enterprise Cloud 及数据驻留版开放公共预览。该功能旨在解决标签或分支在审查后移动导致后续运行执行不同代码的安全风险，通过锁定具体提交来防止恶意代码注入。核心能力包括：使用 gh actions-lock CLI 扩展生成包含动作及其传递依赖的 .github/workflows/actions.lock 文件；支持逐步采用，一旦启用则强制要求所有依赖必须在锁文件中；
GitHub Actions workflow lockfiles in public preview
荐 · 这是 CI/CD 安全能力的重大跃迁。对于重度依赖 GitHub Actions 的团队，引入依赖锁定是防御供应链攻击的关键一步。建议立即安装 gh actions-lock 扩展并在测试环境中试用，评估是否需要在组织层面强制推行 Require lockfile 策略以消除上游依赖漂移风险。