GitHub Actions가 가장 약한 고리다 | Hacker News

Hacker News 댓글들은 GitHub Actions를 변경 가능한 태그보다 커밋 SHA로 고정해야 CI/CD가 더 안전하다고 주장했다.

SHA 고정만으로는 충분하지 않으며, 전이되는 composite action과 NPM 의존성으로 인해 위험이 남을 수 있다는 점도 지적됐다.

이 스레드에서는 더 통제된 워크플로를 위해 Renovator, Dagger, Jenkins, Travis CI 같은 도구와 대안도 비교했다.

핵심은 불변 참조를 쓰면 빌드·배포 파이프라인에 악성 업데이트가 몰래 들어올 가능성을 줄일 수 있다는 점이다.