GitHub Actions теперь поддерживает lock-файлы для защиты от supply-chain атак
Новый механизм позволяет заменить хеш-коммиты на теги vX.Y.Z, а lock-файл фиксирует соответствие тега и SHA. Утилита gh actions-lock генерирует файл .github/workflows/actions.lock, Renovate и Dependabot уже поддерживают его.