GitHub Actions作为广泛使用的CI/CD工具，其包管理系统存在严重安全隐患。研究显示，该系统缺乏关键的锁文件机制，导致依赖解析过程不透明且不可重现。与其他成熟包管理器相比，GitHub Actions无法提供完整性验证、依赖树可见性和确定性解析，使开发者面临供应链攻击风险。据统计，99.7%的GitHub Actions仓库执行外部开发的Actions，97%使用未验证创建者的Actions，18%运行存在安全漏洞的Actions。文章指出，这些问题不仅影响GitHub用户，还通过兼容性扩散到其他CI系统。作者建议添加锁文件记录解析的SHA值和完整性哈希，使依赖关系可见和可验证。GitLab等系统已实现完整性验证，而GitHub相关功能请求被关闭。这一技术分析对所有使用CI/CD工具的开发者和安全专家具有重要参考价值。
