https://techblog.kayac.com/2025-actionspin

GitHub Actionsの外部ActionでVersionTagを使ってるものを一括でCommitHashにしたい。 - KAYAC Engineers' Blog

GitHub Actionsの外部ActionでVersionTagを使っているものをCommitHashに一括変換する方法を紹介。

サプライチェーン攻撃対策として、外部ActionをCommitHashで指定し、RenovateやDependabotで管理する。

ツールactionspinを使うことで、複数のリポジトリで一括変換が可能。