50点BUZZ
✍️ ブログで話題
GitHub Actionsに待望の依存固定ファイル、「使う側は即移行、作る側は要整理」と開発者が解説
GitHub Actionsで依存するアクションのバージョンをファイルで固定できる機能が正式提供されたことを受け、利用者と提供者それぞれの対応を整理したブログ記事が読まれています。
① 事実・背景
これまでは長いハッシュ値を書いてバージョンを固定する方法が推奨されていましたが、読みにくく、間接的に使われるアクションまでは固定できませんでした。新機能はその両方を改善します。
② 影響・今後
サプライチェーン攻撃への備えとして、利用者側は導入をためらう理由はないと筆者は説きます。一方、共通処理を配布する側は、内部の依存をどう指定するか当面は選択を迫られます。
③ 別の見方
固定はあくまで「予期せぬ変更」を防ぐもので、固定した依存が安全かどうかは別に確認が必要だとGitHub自身も注意しています。共通ワークフローの扱いなど、仕様には議論中の部分も残ります。
Buzzの根拠はてなブックマークの人気エントリーに掲載。対象は開発者に限られ、一般層への広がりは小さい。出典おそらくはそれさえも平凡な日々／GitHub Changelog（英語）