https://zenn.dev/progate/articles/24b1140180300c
- Actionのバージョンをハッシュ値かつ別ファイル（lockファイル）で管理できる仕組み
- 最近GAになった
- Actionの内部で別のActionを使っているパターンの場合、中のActionで利用しているActionのハッシュ値も固定してくれる
- ワークフロー上でバージョンをハッシュ値で固定するよりも安全
- 攻撃者によってタグ（e.g. v7.0.1）の中身が書き換えられた場合に、その悪意のあるActionの実行を防ぐことができる
もちろんその対象のハッシュコミットのActionの状態が安全か、攻撃者によって侵害されていないかは確認が必要。
そもそも侵害されていたら全く意味がないので…