Docker і CI/CD · Middle · Запитання 42 з 75
Навіщо закріплювати сторонні actions на повний SHA коміту, а не на @v3?
- 1Теги на GitHub перестають працювати за кілька місяців
- ✓Правильна відповідь: Тег можна перенести на шкідливий код; SHA - ні
- 3Actions працюють швидше, коли вказані через SHA
Пояснення
Якщо репозиторій action скомпрометовано, зловмисник може перевісити v3. Закріплення на SHA (з оновленням через Dependabot) цього не допускає.