GitHub Actions 工作流锁文件进入公开预览，把依赖钉到具体提交
被移动的标签或分支不再能悄悄改变工作流实际运行的代码，管理员还可以强制要求使用锁文件。
// 要点
- 锁文件位于 .github/workflows/actions.lock，记录 action、传递依赖和可复用工作流的具体提交，运行时使用记录的提交。
- 通过 GitHub CLI 的 gh actions-lock 扩展生成，可逐个工作流接入，也可在 CI 中只检查锁文件是否过期、不改文件。
- 企业、组织和仓库管理员可设置「必须使用锁文件」策略（同为公开预览）；Dependabot 升级 action 时会在同一个 PR 里更新对应锁文件条目。
- GitHub 提醒：锁定不代表依赖安全，锁定前仍需审查。
开发者视角这个站的数据管道和部署都跑在 Actions 上，而且工作流里带着 COS 密钥，第三方 action 的标签被人挪动正是我最担心的情况。我会先给带密钥的部署和发布工作流生成锁文件，并在 CI 里加上过期检查；跑通之后再考虑在组织层面强制。