GitHub Actions工作流程依赖项锁定文件现已处于具有数据驻留的GitHub Enterprise Cloud和GitHub Enterprise Cloud的公开预览中。检查工作流后，标记和分支可以移动，因此稍后运行可能会执行不同的代码。锁定文件允许您在运行锁定的确切提交时，将这些引用保留在工作流中。
如果操作受到损害，移动的标记或分支可以将恶意代码引入您的工作流程，而无需更改存储库。锁定文件通过将工作流程运行绑定到锁定的提交来帮助防止意外的依赖关系更改。锁定不会确定依赖项本身是否安全，因此请在锁定它们之前检查依赖项。
安装GitHub CLI的gh actions-lock扩展，以创建和维护工作流锁定文件。使用扩展，您可以：固定您的依赖项： Generate.github/workflows/actions.lock，其中包含可审核的动作提交及其可传递的依赖项，以及可重用的工作流依赖项。逐渐采用锁定：单独的板载工作流程。
入职后，工作流程必须为其依赖项提供锁定文件条目， GitHub Actions将运行记录的提交。保持工作流运行的一致性： GitHub Actions要求已启用工作流的每个依赖项都位于锁定文件中，并使用其记录的提交，即使标记或分支移动也是如此。检查过时的锁定文件：验证锁定文件是否是最新的，而无需修改文件，包括在CI检查中。
“需要锁定文件”策略也可在公开预览中查看。企业、组织和存储库管理员可以要求工作流在其企业、组织或存储库中使用锁定文件。使用Dependabot Dependabot使锁定的依赖项保持最新，有助于使GitHub Actions依赖项保持最新。