GitHub Actions で checkout@v7 のようなバージョン指定を書くのはやめよう！ 時代は actions.lock！

タグ指定だと改ざんリスクあるからハッシュ固定かactions.lock使えって話ね。CI周りのセキュリティ改善助かる

renovateは対応してるのかな?

外側のActionをSHA固定しても、内部の依存が可変タグなら変更は入り込む。actions.lockで推移的依存まで固定できるのが肝だ。ただし固定は安全性の審査ではない。更新する差分の確認は残る。