pin（锁定）是指让 CI 引用一个不可变的 commit hash，而不是 main 或会移动的分支名，以换取数据的可复现性。