Fix mode unpins a reusable workflow call when the same repository is also used as a step action

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#261 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
72/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github-actions, go
Lĩnh vực
ci-cd, cli

Hướng nghiên cứu

Bắt đầu từ internal/workflowfile/rewrite.go, tại RewriteActionRefs và subpathRewriteLookup mà issue có liên kết tới. Tái hiện lỗi bằng workflow trong issue, sau đó kiểm tra xem các giá trị jobs.<job_id>.uses có bị bỏ qua hay không, và các ref trong .github/workflows/ có không bị coi là subpath của action hay không. Hoàn thành khi lệnh gọi reusable workflow giữ nguyên SHA còn action trong step vẫn được viết lại thành tag.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Summary

When a workflow calls a reusable workflow pinned by a commit SHA (jobs.<job_id>.uses), and a step in the same file uses an action from the same repository pinned by the same SHA, gh actions-lock rewrites the reusable workflow call to the tag too.

The lockfile doesn't lock reusable workflow calls (#179), so this replaces the SHA pin with a tag that nothing locks. Unless the tag belongs to an immutable release, it can be moved to another commit.

Version

gh-actions-lock v0.4.1

Steps to reproduce

Create .github/workflows/test.yaml in an empty Git repository:

name: test
on: pull_request
jobs:
  gomodule:
    uses: suzuki-shunsuke/download-go-module-action/.github/workflows/download.yaml@e03acd0c9d3d230019ebb7bd4a62507431fe4316 # v0.0.10
    permissions:
      contents: read
  test:
    needs: [gomodule]
    runs-on: ubuntu-latest
    permissions:
      contents: read
    steps:
      - uses: suzuki-shunsuke/download-go-module-action/restore@e03acd0c9d3d230019ebb7bd4a62507431fe4316 # v0.0.10

Run gh actions-lock.

Actual behavior

Both uses: lines are rewritten to the tag:

   gomodule:
-    uses: suzuki-shunsuke/download-go-module-action/.github/workflows/download.yaml@e03acd0c9d3d230019ebb7bd4a62507431fe4316 # v0.0.10
+    uses: suzuki-shunsuke/download-go-module-action/.github/workflows/[email protected]
 ...
     steps:
-      - uses: suzuki-shunsuke/download-go-module-action/restore@e03acd0c9d3d230019ebb7bd4a62507431fe4316 # v0.0.10
+      - uses: suzuki-shunsuke/download-go-module-action/[email protected]

Expected behavior

Only the step action is rewritten. The reusable workflow call keeps the SHA, as it does when the file has no step action from that repository.

The README says:

Reusable workflows called at jobs.<id>.uses from another repository are not locked (#179).

And the docs say:

It doesn't pin calls to reusable workflows (jobs.<job_id>.uses). To pin a reusable workflow, reference it by its full commit SHA.

So a full commit SHA is the only pin a reusable workflow call has, and gh actions-lock shouldn't rewrite it.

If the step is replaced with an action from another repository (e.g. actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1), the reusable workflow call is left as it is.

Cause

RewriteActionRefs rewrites every scalar uses: value in the file, including job-level reusable workflow calls.

The replacement map has a key for the step action, suzuki-shunsuke/download-go-module-action@e03acd0c.... subpathRewriteLookup matches owner/repo/<path>@ref against an owner/repo@ref key, so .github/workflows/download.yaml is treated as an action sub-path like restore, and the reusable workflow call gets the step action's new ref.

Skipping jobs.<job_id>.uses (or refs whose path starts with .github/workflows/) in the rewrite would fix it.

Workaround

Pin the reusable workflow call to the SHA again after running gh actions-lock. Running gh actions-lock again after that keeps the SHA.

Ngôn ngữ chính
Go
Star
253
Fork
15
Merge trung bình
19 giờ 30 phút
Pull request đã merge (30 ngày)
60

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của github/gh-actions-lock

Tất cả issue của github/gh-actions-lock

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.