CNCF 给 GitHub Actions 依赖出了安全清单 RSS

要点是把 action 固定到 SHA、收紧 token 权限、用隔离 runner，CI 是供应链的高价值入口。