한줄평
“CI 공급망을 해시 고정으로 강화하려는 팀에 알맞습니다. 액션을 자주 업데이트한다면 재고정 작업이 번거로울 수 있습니다.”
이런 분께 깃허브 액션 버전을 해시로 못박아 CI 를 지키려는 분께
좋은 점
- 태그 대신 불변 해시로 고정해 공급망 보안 강화
- 워크플로 파일 자동 처리로 수작업 제거
아쉬운 점
- 해시 고정 후 업데이트 시 다시 갱신해야 함
핀 액션 소개
깃허브 워크플로가 참조하는 액션 의존성의 버전을 전체 길이 커밋 해시로 바꿔 고정해 주는 명령줄 도구입니다. 태그는 나중에 바뀔 수 있지만 해시는 불변이라, 공급망 보안 관점에서 CI 파이프라인을 더 단단하게 만듭니다. 워크플로 YAML 을 대상으로 실행하는 CLI 유틸리티입니다.
