actionのバージョンをすべてpinする #1166
Description
内容
pinactやRenovateを使ってactionのバージョンをすべてpinし、Require actions to be pinned to a full-length commit SHAをオンにできるようにします。
Pros 良くなる点
- セキュリティ向上
Cons 悪くなる点
- 面倒
実現方法
次のactionについては課題があるかもしれません。これらは強い設計意図によりバージョニングがされておらず、masterブランチ上のコミットの中から選ぶしかない以上、pin自体はできても少なくともpinact run -uによるアップデートができません。Renovateでも無理そうな予感がします。
なお前者はtaiki-e/install-actionに置き換えることができますが、後者を(#1153 のときに部分的に導入済みの)moonrepo/setup-rustに置き換えてよいかどうかはまだ未検証です。というのもインストール部分には不満が無いのですが、キャッシュ周りの挙動にちょっと疑問を持ってます。
VOICEVOXのバージョン
N/A
OSの種類/ディストリ/バージョン
N/A