はてなまとめ - GitHub Actions で checkout@v7 のようなバージョン指定を書くのはやめよう！時代は actions.lock！

1: nguyen-oi 2026/10/30 09:41

タグ指定だと改ざんリスクあるからハッシュ固定かactions.lock使えって話ね。CI周りのセキュリティ改善助かる

2: sakuro 2026/10/30 10:23

renovateは対応してるのかな?

3: syu-m-5151 2026/10/30 11:12

外側のActionをSHA固定しても、内部の依存が可変タグなら変更は入り込む。actions.lockで推移的依存まで固定できるのが肝だ。ただし固定は安全性の審査ではない。更新する差分の確認は残る。

4: ao41 2026/10/30 16:00

いまメンテしてるやつは導入していく

5: atsushieno 2026/10/30 19:08

renovate等で更新の通知が無ければ「脆弱な古いバージョン」を使い続けるんじゃないの?　更新の通知が来たときに更新内容をメッセージだけでなくコードまできちんと確認してる?　エイリアスとどっちが信頼性が高い?

6: hinaloe 2026/10/30 20:27

Renovateはプレビュー対応してるけどこれ結局結果としてv7で書くのが許されるようになってる説はある

7: Cherenkov 2026/10/30 21:57

なんでこんなに利用者負担させるんだろう

GitHub Actions で checkout@v7 のようなバージョン指定を書くのはやめよう！ 時代は actions.lock！