GitHub Actions Perkenal Lockfile: Tetapkan Kod Automasi yang Benar-benar Dijalankan

Pada 28 Oktober 2026, GitHub mengumumkan ketersediaan umum workflow dependency lockfiles untuk GitHub Actions. Ciri ini membolehkan aliran kerja mengekalkan rujukan versi yang mudah dibaca sambil menjalankan commit khusus yang telah dikunci.

Bagi pembangun, persoalannya mudah: adakah kod automasi yang berjalan hari ini masih sama dengan kod yang disemak sebelum ini? Perubahan ini memberi cara lebih tersusun untuk menjawabnya.

Apa yang diumumkan

Menurut GitHub, ciri tersebut tersedia pada pelan Free, Team, GitHub Enterprise Cloud dan Enterprise Cloud dengan data residency. Pasukan boleh menerapkannya secara berperingkat mengikut aliran kerja, sementara pentadbir boleh mewajibkan penggunaannya melalui polisi Require lockfile.

GitHub turut menyatakan bahawa kemas kini versi action oleh Dependabot akan menjana semula entri lockfile berkaitan dalam pull request yang sama. Ini membolehkan perubahan rujukan versi dan rekod kod yang dikunci disemak bersama.

Sumber: GitHub Actions workflow lockfiles are generally available.

Mengapa nama versi sahaja belum mencukupi

Dokumentasi GitHub menerangkan bahawa tag dan branch boleh beralih kepada commit lain. Tanpa penguncian, sesuatu rujukan akan diselesaikan kepada commit yang ditunjuk ketika aliran kerja berjalan. Lockfile merekodkan commit khusus bagi action serta kebergantungan transitifnya, iaitu action lain yang digunakan oleh action tersebut.

Fail ini turut merekodkan identiti berangka pemilik dan repositori sumber. Namun, skopnya mempunyai batas: ia tidak mengunci panggilan kepada reusable workflow, dan tidak mengawal parameter input, rahsia atau imej runner. Reusable workflow perlu dirujuk menggunakan commit SHA penuh jika mahu dipinkan.

Sebagai analogi editorial, nama versi menyerupai label pada sebuah kotak, manakala commit mengenal pasti kandungan tertentu. Lockfile membantu menetapkan kotak yang dipilih; ia tidak menilai mutu setiap barang di dalamnya.

Sumber: Workflow dependency lockfiles — GitHub Docs.

Alat semakan mempunyai batas tersendiri

Repositori rasmi gh-actions-lock menerangkan bahawa sambungan GitHub CLI ini menjana dan mengesahkan fail .github/workflows/actions.lock. Sokongannya merangkumi github.com dan Enterprise Cloud dengan data residency, tetapi bukan GitHub Enterprise Server.

Perbezaan mod semakan juga penting. Mod verify-local menyemak liputan entri secara luar talian, sedangkan verify turut menyemak asal-usul rujukan melalui rangkaian. Repositori itu menyatakan bahawa imej container tidak dikunci oleh alat ini. Perubahan yang mengundurkan rujukan terapung kepada commit lebih lama dalam sejarahnya juga tidak dikesan secara automatik.

GitHub sendiri mengingatkan bahawa lockfile tidak menentukan sama ada sesuatu kebergantungan selamat. Semakan kod dan keputusan untuk mempercayai pembekal action masih diperlukan.

Sumber: github/gh-actions-lock: GitHub CLI extension for action dependency lockfiles; GitHub Actions workflow lockfiles are generally available.

Cadangan editorial: mulakan dengan satu projek Malaysia

Untuk pasukan pembangunan di Malaysia, cadangan kami ialah memilih satu repositori percubaan yang mewakili kerja harian, misalnya aplikasi tempahan dalaman atau portal latihan. Mulakan dengan aliran kerja ujian tanpa akses kepada sistem pengeluaran. Catat action yang digunakan, siapa yang menyelenggarakannya dan sebab setiap action diperlukan.

Kemudian, sediakan perubahan melalui pull request supaya rakan sepasukan boleh membandingkan rujukan asal dengan rekod yang dikunci. Sertakan penerangan ringkas tentang apa yang berubah dan bukti bahawa ujian masih berjalan. Elakkan menjadikan kewujudan fail baharu sebagai satu-satunya ukuran kejayaan.

Bagi agensi perisian yang mengendalikan beberapa projek pelanggan, tetapkan pemilik semakan kebergantungan untuk setiap projek. Cadangan ini ialah pertimbangan operasi editorial, bukannya laporan tentang tahap penggunaan ciri tersebut dalam industri Malaysia. Matlamat percubaan ialah mengetahui beban penyelenggaraan sebenar sebelum dasar diperluas.

Cadangan editorial: jadikan kemas kini sesuatu yang boleh diterangkan

Kami mencadangkan supaya pasukan membezakan dua soalan dalam setiap semakan: adakah versi yang dimaksudkan benar-benar dipilih, dan adakah perubahan versi itu wajar diterima? Jawapan pertama berkaitan ketepatan rekod; jawapan kedua memerlukan penelitian perubahan serta keputusan manusia.

Untuk pelajar atau pembangun junior, jadikan percubaan ini latihan dokumentasi. Tulis nota yang menerangkan satu kebergantungan, sebab ia digunakan, cara versi dikenal pasti dan perkara yang masih berada di luar kawalan lockfile. Gunakan projek contoh tanpa rahsia sebenar supaya hasilnya mudah dikongsi.

Dalam sesi perkongsian pasukan, bentangkan satu perubahan yang diterima dan satu yang ditangguhkan, bersama alasannya. Latihan sebegini memberi ruang untuk menerangkan pertimbangan teknikal dengan jelas. Nilai pembelajarannya terletak pada keupayaan menyemak dan mempertahankan keputusan, bukan sekadar menambah satu lagi fail konfigurasi.

Rujukan

• GitHub Actions workflow lockfiles are generally available — 2026-10-28
• Workflow dependency lockfiles — GitHub Docs
• github/gh-actions-lock: GitHub CLI extension for action dependency lockfiles

Disediakan secara automatik dengan bantuan AI berdasarkan sumber yang dipautkan. Semakan sumber: 2026-11-02. Gambar utama ialah ilustrasi janaan AI, bukan foto peristiwa sebenar.