GitHub Actions 工作流锁文件正式可用，固定直接与传递依赖

发生了什么

• gh actions-lock 生成 actions.lock，记录直接与传递依赖；团队可以逐个工作流采用，并要求提交锁文件。
• Dependabot 可在同一拉取请求中更新锁文件，CI 也能只读检查是否过期；固定提交不能代替依赖安全审查。

GitHub 官方更新日志 · 查看原文 ↗

对工程应用的启发

工程观察：可把依赖更新、锁文件生成、差异审阅和过期检查纳入同一流程，分别验证构建可重复性、更新兼容性与供应链风险。

以上为基于公开资料的应用思考，具体能力与适用范围需结合原文和实际测试判断。