Actions 加 lock 文件，CI 可复现欠了十年

你写 CI 工作流的时候，有没有遇到过这种事：昨天跑得好好的，今天突然挂了，翻了一堆 log 才发现某个 action 的版本被偷偷升级了。GitHub 刚把 workflow lock files 推上了 public preview——说白了，就是让你把每个 step 用的 action 版本钉死，跟 npm、cargo 那些包管理器的 lock 文件一个逻辑。我早该这么干了。整个 CI 生态其实一直在欠这笔债：Dockerfile 有 hash pin，GitHub Actions 却长期让人靠手写标签名来防漂移，出了事故全靠玄学排查。lock 文件把"可复现"从一个口号变成了一个机器可读的契约。接下来要看的，是它能不能覆盖到 composite action、能否在 monorepo 里优雅共存，以及那 0 条 Hacker News 评论背后是不是没人当真。

原文：GitHub Actions has added lock files · 来源：Hacker News