Feature request: How should composite actions lock themselves?

Đang mở
  • Có gì không ổn?
#183 5 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
35/100
Loại issue
Tính năng
Độ rõ ràng
Cần làm rõ
Mức độ hoạt động
Sôi nổi
Công nghệ
github-actions, go
Lĩnh vực
cli, security

Hướng nghiên cứu

Start by reading the current lockfile format and its documented limitation for reusable workflows, then inspect how gh actions-lock reads and merges lockfiles. The issue raises alternatives for composite actions but does not settle the format or behavior; clarify the design before implementation. Done means composite action dependencies can be pinned consistently without weakening the integrity guarantees described here.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

area:composite-actions feature-request

This is somewhat related to https://github.com/github/gh-actions-lock/issues/139#issuecomment-6259216875 and has come up while I'm working on zizmor's support for lockfiles.

TL;DR: lockfiles are currently workflow-oriented, with reusable workflows as a documented limitation. But how should repos that contain composite actions pin their dependencies?

For example, in zizmor-action, we use the upload-serif action:

https://github.com/zizmorcore/zizmor-action/blob/fb1d87ba4b2f888025015a269a94ad7e991f6a7b/action.yml#L131

As is, lockfiles leave these kinds of composite actions with a bit of a gap:

  1. We can switch back to ref-pinning, and let downstream users lock as part of their resolution. However, this degrades the integrity/immutability property for users who haven't adopted lockfiles yet (or can't for whatever reason).
  2. We can keep hash-pinning our dependencies in the "old" way, but this is now out of sync with the idiom that's being established for locking workflows. In particular this means that tools like zizmor will need to have two pathways: a lockfile pathway for workflows, and a "you still have to do it the old way" for composite actions.

AFAICT this could be handled by allowing composite actions in the current lockfile format as well (keyed by repo-relative path?), and then having gh actions-lock honor the downstream lockfile when present/merge it into the upstream lockfile.

Alternatively it would be solved by the "intrinsic" idea in https://github.com/github/gh-actions-lock/issues/139#issuecomment-6259216875, since composite action definitions could grow similar dedicated syntax for pinning, etc.

Ngôn ngữ chính
Go
Star
253
Fork
15
Merge trung bình
19 giờ 30 phút
Pull request đã merge (30 ngày)
60

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của github/gh-actions-lock

Tất cả issue của github/gh-actions-lock

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.