GitHub Actions workflow bağımlılıkları için lockfile desteği genel kullanıma sunuldu

GitHub, Actions iş akışlarındaki bağımlılıklar için lockfile desteğini 28 Ekim 2026'da herkese açtı; böylece çalıştırılan commit'ler etiketler veya dallar değişse bile sabit kalıyor.

GitHub, GitHub Actions için iş akışı bağımlılık lockfile'larını 28 Ekim 2026'da genel kullanıma sundu. Özellik, iki hafta önce açık önizleme olarak sunulmuştu.

Depoya işlenen bir actions.lock dosyası, runner'ların kayıtlı commit'leri çalıştırmasını sağlıyor. Bu, etiket veya dal referansları sonradan değişse bile geçerli. Dolaylı bağımlılıklar da dahil: bileşik action'ların kendi bağımlılıkları da kayda alınıyor. Böylece SHA ile sabitlemenin bıraktığı boşluklar kapanıyor.

Geçiş iş akışı bazında kademeli yapılabiliyor. Lockfile'lar gh actions-lock CLI eklentisiyle yönetiliyor; eklentinin doğrulama modu CI'da eski kalmış lockfile'ları yakalamak için bir kontrol noktası olarak kullanılabiliyor.

Dependabot, bir action'ı güncellediğinde ilgili lockfile girdisini aynı pull request içinde güncelliyor. Yöneticiler ise Require lockfile politikasını zorunlu kılabiliyor.

GitHub, lockfile'ın hangi commit'lerin çalışacağını garanti ettiğini, ancak bu commit'lerin güvenli olup olmadığını belirlemediğini açıkça belirtiyor. Bu nedenle girdilerin oluşturulduğu ya da güncellendiği anki inceleme süreci hâlâ temel denetim olarak öne çıkıyor. GitLab ve Azure Pipelines gibi rakip platformlar ise benzer bir yerel özellik duyurmadı; bu platformlarda kullanıcılar hâlâ elle SHA sabitlemeye ya da üçüncü taraf araçlara dayanıyor.

GitHub ayrıca 2 Aralık'tan itibaren pull_request_target tetikleyicisini varsayılan olarak engelleyecek.