GitHub Actions có workflow lockfiles: chặn tag bị đổi sau khi review CI/CD

Bài viết này do AI tạo ra dựa trên thông báo chính thức của GitHub ngày 14/10/2026.

GitHub đưa workflow dependency lockfiles vào public preview cho GitHub Actions. Mục tiêu: ngăn một workflow đã được review chạy sang mã khác chỉ vì tag hoặc branch của action bị di chuyển sau đó. Đây là lớp kiểm soát supply-chain thực dụng cho các kho dùng action bên thứ ba.

Tóm tắt nhanh

Lockfile ghi commit chính xác cho action, reusable workflow và dependency bắc cầu.
File tạo ra là .github/workflows/actions.lock; GitHub Actions chạy đúng commit đã khóa với workflow được onboard.
Policy Require lockfile cũng đang public preview ở cấp enterprise, organization và repository.
Dependabot có thể cập nhật reference workflow và entry lockfile trong cùng pull request.

Vì sao tag của action là rủi ro

Tag như v4 hoặc branch tiện cho vận hành, nhưng là tham chiếu có thể thay đổi. Nếu action bị chiếm quyền hoặc maintainer cập nhật tag, workflow chạy sau lần review có thể thực thi commit khác dù repository không đổi YAML. Lockfile tách việc “dễ đọc reference” khỏi việc “chọn chính xác mã nào được chạy”.

Lockfile hoạt động thế nào

Extension gh actions-lock tạo và duy trì file khóa. Sau khi một workflow được onboard, mọi dependency của workflow đó phải có entry trong lockfile; runtime dùng commit đã ghi. Cách làm này bao gồm cả dependency bắc cầu, phần thường bị bỏ sót nếu chỉ pin action trực tiếp bằng SHA.

Triển khai theo từng workflow

GitHub cho phép áp dụng dần. Đội vận hành nên bắt đầu với pipeline có quyền cloud, phát hành package, ký artifact hoặc truy cập secret production. Chạy chế độ kiểm tra lockfile cũ trong CI trước, rồi bật enforcement sau khi quy trình Dependabot và review đã ổn định.

Dependabot giảm gánh cập nhật

Khi Dependabot mở pull request nâng version action cho workflow đã onboard, nó đồng thời sinh lại entry lockfile tương ứng. Reviewer có thể nhìn thấy reference mới và commit khóa trong cùng thay đổi. Điều này giảm nguy cơ lockfile bị cũ, nhưng không thay thế review nội dung action.

Giới hạn cần nhớ

Khóa commit giữ tính nhất quán, không chứng minh dependency an toàn. Một commit độc hại vẫn nguy hiểm nếu được khóa. Cần duy trì allowlist action, quyền permissions: tối thiểu, OIDC ngắn hạn thay secret dài hạn và review thay đổi workflow như thay đổi mã có đặc quyền.

Checklist áp dụng

Cài gh actions-lock, tạo lockfile và commit cùng workflow.
Ưu tiên workflow deploy, release và workflow có quyền ghi.
Bật kiểm tra lockfile stale trong pull request.
Để Dependabot cập nhật action và lockfile cùng PR.
Sau giai đoạn thử, cân nhắc Require lockfile ở phạm vi phù hợp.

Phân tích

Điểm mạnh của lockfile là biến rủi ro tag mutable thành thay đổi có thể review và audit. Đây là bước đi quan trọng vì GitHub Actions thường là cầu nối từ pull request tới cloud, registry và môi trường phát hành. Nó không thay thế pin SHA, nhưng đưa pinning thành workflow có công cụ quản lý, đặc biệt hữu ích với dependency bắc cầu và tổ chức có nhiều repository.