# GitHub تطلق ملفات قفل لـ GitHub Actions تثبّت الـ commit لكل اعتماد، ومتاحة على الخطة المجانية

> **المغزى:** المغزى: الإشارة إلى action بـ tag تعني الثقة بأن صاحبه لن يغيّر ما يشير إليه، والقفل يحوّل هذه الثقة إلى نسخة محددة راجعها الفريق، لكنه لا يقوم بالمراجعة نفسها.

- المصدر: المغزى (https://almaghza.com/a/2026-10-15-github-actions-workflow-lockfiles/)
- التاريخ: 4 جمادى الأولى - 15 أكتوبر 2026 (2026-10-15)
- القسم: أمن سيبراني
- الوسوم: GitHub Actions، هجمات سلسلة التوريد، CI/CD، GitHub

أعلنت GitHub في 14 أكتوبر 2026 عن workflow lockfiles لخدمة GitHub Actions، وهي ما زالت في مرحلة public preview. وهي متاحة على Enterprise Cloud وTeam وعلى الخطة المجانية أيضًا.

والمشكلة التي تعالجها قديمة. فحين يكتب المطور في الـ workflow سطرًا مثل actions/checkout@v4، فإن v4 هو tag، والـ tag والفروع يمكن أن تتحرك بعد مراجعة الـ workflow. فيستطيع صاحب الـ action تحريكه إلى commit آخر، فينفذ التشغيل التالي كودًا مختلفًا. وإذا اختُرق الـ action، يدخل الكود الخبيث دون أي تغيير في مستودع المستخدم.

ويسجل الملف الجديد، الموجود في .github/workflows/actions.lock، الـ commit الذي استقر عليه كل اعتماد، بما في ذلك الاعتمادات غير المباشرة والـ workflows القابلة لإعادة الاستخدام. وبعد التسجيل، تشغّل Actions الـ commit المسجّل حتى لو تحرك الـ tag. ويُولَّد الملف بإضافة لأداة سطر الأوامر اسمها gh actions-lock، ومعها فحص يتأكد أن الملف محدّث دون أن يعدّل شيئًا، فيمكن استخدامه داخل الـ CI. وحين يرفع Dependabot نسخة اعتماد، يحدّث السطر في الـ pull request نفسه. كما توجد سياسة Require lockfile على مستوى المؤسسة أو المنظمة أو المستودع.

ولهذه الأداة حدود يذكرها المصدر صراحة. فالتسجيل يتم workflow بعد workflow، ويجب أن يكون لكل اعتماد سطر. والأهم أن القفل يثبّت النسخة ولا يقيّم إن كان الاعتماد آمنًا. فهو يمنع التغيير بعد المراجعة، ولا يقوم بالمراجعة.

ووصول الخاصية إلى الخطة المجانية يعني أن الفرق الصغيرة والمشاريع مفتوحة المصدر في المنطقة تستطيع الوصول إلى الحماية نفسها المتاحة للمؤسسات الكبيرة، دون كلفة إضافية.

## المصادر

- [سجل تغييرات GitHub](https://github.blog/changelog/2026-10-14-github-actions-workflow-lockfiles-in-public-preview/)
- [توثيق تأمين GitHub Actions](https://docs.github.com/en/actions/security-for-github-actions)