GitHub Actions thêm API deprecation runner và quyền đọc Dependabot hẹp hơn

Bài viết này do AI tạo ra, dựa trên GitHub Changelog công bố ngày 03/09/2026.

GitHub bổ sung ba thay đổi cho GitHub Actions: API theo dõi vòng đời runner, quyền đọc Dependabot alerts hẹp hơn cho GITHUB_TOKEN và metadata chính xác hơn cho reusable workflow. Đây là cập nhật vận hành và bảo mật đáng chú ý với đội CI/CD.

Tóm tắt nhanh

API mới: GET /actions/runners/deprecations/{version}.
Phản hồi có runner_version, runtime_deprecates_at, registration_deprecates_at.
Quyền vulnerability-alerts chỉ nhận read hoặc none.
Reusable workflow có thêm bốn thuộc tính job.

Lập kế hoạch nâng cấp runner

API runner deprecation cho repository, organization và enterprise biết thời điểm hết hỗ trợ runtime và hết hỗ trợ đăng ký của một version runner. Đội platform có thể đưa dữ liệu này vào dashboard hoặc ticket tự động, thay vì đợi workflow hỏng khi image/runner cũ bị loại bỏ.

Least privilege cho Dependabot

GITHUB_TOKEN nay có quyền vulnerability-alerts: read. Workflow chỉ cần đọc cảnh báo Dependabot không phải xin scope rộng hơn. Nên khai báo quyền tối thiểu theo từng job và rà lại action bên thứ ba trước khi tăng quyền token.

Reusable workflow biết đúng nguồn gốc

Các thuộc tính mới gồm job.workflow_ref, job.workflow_sha, job.workflow_repository và job.workflow_file_path. Chúng mô tả workflow định nghĩa job hiện tại, khác với github.workflow_ref/github.workflow_sha khi dùng reusable workflow. GitHub nói chúng chưa có trên GitHub Enterprise Server.

Việc nên làm

Kiểm kê self-hosted runner và đặt cảnh báo trước mốc deprecation.
Đổi workflow đọc Dependabot sang vulnerability-alerts: read khi phù hợp.
Gắn workflow SHA/ref mới vào log, provenance hoặc policy kiểm tra reusable workflow.

Phân tích

Ba thay đổi cùng giải quyết một vấn đề: CI/CD cần biết chính xác cái gì đang chạy, khi nào thành phần hết hỗ trợ và token được phép đọc gì. API deprecation giảm rủi ro gián đoạn, còn scope hẹp giảm blast radius nếu token bị lộ. Metadata job giúp policy kiểm tra workflow tái sử dụng theo commit SHA thay vì chỉ tin tên workflow.