Полный текст
GitHub Actions: почему это худший менеджер пакетов современностиСтрока uses: actions/checkout@v4 в конфигурации — это не просто вызов, а полноценное объявление зависимости. Механизм её разрешения, скачивания и исполнения работает по принципам пакетного менеджера. Но анализ исходного кода раннера показывает, что этот менеджер игнорирует главные уроки безопасности последних лет.После инцидентов с left-pad и event-stream индустрия пришла к локфайлам и строгой проверке хэшей как к единственному способу защиты. Здесь же эти базовые слои отсутствуют напрочь, превращая CI/CD в «решето».Декомпозируем логику резолвера и оценим реальные риски для цепочки поставок.