待验证85% 置信事实时间未知

GitHub官方安全最佳实践推荐使用完整commit SHA固定引用Action，以防范供应链攻击中的标签篡改风险

1

来源数

85%

置信度

长期有效

时效性

2026/5/31

首次发现

来源

peter-evans/create-or-update-comment v2.1.1发布：GitHub Actions自动评论管理工具

twitterGitHubActions

涉及实体

GitHubcompany GitHub Actionsproduct

相关事实

待验证GitHub官方安全指南推荐在GitHub Actions中锁定到commit SHA以规避标签被强制推送覆盖的供应链安全风险89% 相似待验证Commit SHA 基于 SHA-1 的内容寻址特性，具备密码学层面的完整性保证，即便标签被恶意篡改，锁定 SHA 的工作流也不会受影响，Git 正逐步向 SHA-256 迁移64% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/7578

API

curl https://kongchang.com/api/v1/knowledge/claims/7578

MCP

get_claim(id=7578)