Workflow lockfiles do GitHub Actions chegam em public preview

Os workflow lockfiles do GitHub Actions entraram em public preview para GitHub Enterprise Cloud, Enterprise Cloud com data residency, Team e Free. O problema que atacam é conhecido: tags e branches podem se mover depois da revisão de um workflow, e uma execução posterior pode rodar código diferente. Se uma action for comprometida, uma tag movida basta para injetar código malicioso sem nenhuma mudança no repositório.

A solução usa a extensão gh actions-lock do GitHub CLI, que gera o arquivo .github/workflows/actions.lock com commits revisáveis para actions, dependências transitivas e dependências de reusable workflows. A adoção é gradual, workflow a workflow. Depois de onboarded, o workflow exige entradas no lockfile para todas as dependências e o Actions executa o commit registrado, mesmo que a tag ou branch tenha mudado. Há também uma verificação de lockfile desatualizado que não altera arquivos e roda em CI. A política Require lockfile deixa administradores de enterprise, organização e repositório obrigarem o uso. O Dependabot, ao abrir update de versão de uma action num workflow já onboarded, regenera a entrada do lockfile no mesmo pull request. A fonte avisa: travar não diz se a dependência é segura, então a revisão continua necessária.

Para quem opera pipelines, isso permite manter tags legíveis no YAML sem abrir mão de execução determinística. A política Require lockfile pode virar controle central de supply chain em organizações grandes. O custo prático é revisar os commits travados e tratar o PR do Dependabot como ponto de revisão real, não só de merge automático.