Prhub

#33057 Bump actions/checkout from 6.0.1 to 7.0.0

原始 PR 作者 dependabot[bot] 合并时间 2026-06-30 20:16 文件变更 2 提交数 1 评论 4 代码增减 +2 / -2

ci/build infra dependencies

执行摘要

升级 actions/checkout 从 v6.0.1 到 v7.0.0

Dependabot 自动检查到 actions/checkout 有新版本 v7.0.0（release notes 及 changelog 见 PR body），自动发起升级以获取安全修复和功能更新。v7.0.0 关键变更包括阻止 fork PR 的不安全检出、迁移到 ESM 模块格式、更新依赖以修复 CVE 等。

该 PR 是常规的 Dependabot 自动依赖升级，技术含量低，无精读价值。但值得关注的是 actions/checkout v7.0.0 的破坏性变更说明（特别是 pull_request_target 安全限制），如果未来团队在 CI 中涉及类似场景，需要调整工作流配置。

讨论亮点

该 PR 没有实质性的 review 讨论（review comments 为 0）。主要交互是 Dependabot 的 stale 标记、njhill 的 rebase 指令以及 mergify 的合并冲突通知。无设计权衡或技术争议。

实现拆解

  1. 更新 GitHub Actions 工作流中的 checkout 步骤：在两个工作流文件（.github/workflows/macos-smoke-test.yml 和 .github/workflows/pre-commit.yml）中，将 actions/checkout 的版本引用从 v6.0.1 的 commit SHA 更新为 v7.0.0 的 commit SHA，并更新注释中的版本号。
  2. 无其他代码变更：仅上述两个文件的版本引用修改，每个文件仅变更一行（sha 和版本注释），未涉及业务逻辑或配置更改。
  3. 无配置或测试配套改动：无相关测试或配置增加。
  4. 合并过程：PR 一度因合并冲突被标记，经 njhill 两次触发 @dependabot rebase 后解决冲突，最终由 njhill 批准并合并。
文件 模块 状态 重要度
.github/workflows/macos-smoke-test.yml CI 配置 modified 2.38
.github/workflows/pre-commit.yml CI 配置 modified 2.38

关键源码片段

.github/workflows/macos-smoke-test.yml infrastructure

macOS 冒烟测试工作流中使用的 checkout action 版本从 v6.0.1 升级到 v7.0.0。

# .github/workflows/macos-smoke-test.yml
jobs:
  smoke_test:
    runs-on: macos-14
    timeout-minutes: 30
    steps:
      - uses: actions/checkout@9c091bb21b7c1c1d1991bb908d89e4e9dddfe3e0 # v7.0.0
      # 其余步骤保持不变
.github/workflows/pre-commit.yml infrastructure

pre-commit 检查工作流中使用的 checkout action 版本从 v6.0.1 升级到 v7.0.0。

# .github/workflows/pre-commit.yml
jobs:
  pre-commit:
    runs-on: [self-hosted, linux, x64, vllm-runners]
    steps:
      - uses: actions/checkout@9c091bb21b7c1c1d1991bb908d89e4e9dddfe3e0 # v7.0.0
      # 其余步骤保持不变

评论区精华

没有提炼出高价值讨论线程

当前评论区没有形成足够清晰的争议点或结论，后续有更多讨论时会体现在这里。

风险与影响

风险极低：

  • 回归风险：actions/checkout v7.0.0 是经过测试的正式版本，由 GitHub 官方维护，社区广泛使用。但 v7.0.0 包含一些破坏性变更（如 ESM 迁移、阻止 fork PR 不安全检出），可能影响某些特殊工作流（例如使用 pull_request_target 且需要检出 fork PR 的流程）。不过 vllm 仓库中的这两个工作流并未涉及此类场景，风险可忽略。
  • 兼容性：v7.0.0 要求 Node.js 20+，GitHub Actions 运行器已支持。如果运行器版本过低可能导致失败，但通常 CI 环境会及时更新。
  • 安全：版本升级本身带来安全改进（如阻止 fork PR 不安全检出），无新增风险。

影响范围：仅影响 CI 构建流程。macOS 冒烟测试和 pre-commit 检查两个工作流会使用新版本的 checkout action。
影响程度：微小。功能无变化，仅底层工具版本升级。如果新版本存在意外行为，可能导致 CI 失败，但概率极低。
对用户：无直接影响。
对团队：无需任何操作，自动生效。

关联 Issue

#1924 Check out other refs/* by commit if provided, fall back to ref
#1941 `url-helper.ts` now leverages well-known environment variables.
#1946 Expand unit test coverage for `isGhes`
#1971 docs: update README.md
#1977 Add internal repos for checking out multiple repositories
#2043 Documentation update - add recommended permissions to Readme
#2044 Adjust positioning of user email note and permissions heading
#2194 Update README.md
#2224 Update CODEOWNERS for actions
#2226 Update actions checkout to use node 24
#2236 Update package dependencies
#2248 Update README to include Node.js 24 support details and requirements
#2286 Persist creds to a separate file
#2301 Port v6 cleanup to v5
#2305 Port v6 cleanup to v4
#2327 Add worktree support for persist-credentials includeIf
#2355 Add orchestration_id to git user-agent when ACTIONS_ORCHESTRATION_ID is set
#2356 Fix tag handling: preserve annotations and explicit fetch-tags
#2357 Update changelog
#2414 fix: expand merge commit SHA regex and add SHA-256 test cases
#2439 Fix checkout init for SHA-256 repositories
#2446 Update changelog for v6.0.3
#2454 block checking out fork pr for pull_request_target and workflow_run
#2458 Bump actions/publish-immutable-action from 0.0.3 to 0.0.4 in the minor-actions-dependencies group across 1 directory
#2459 Bump @actions/core and @actions/tool-cache and Remove uuid
#2460 Bump flatted from 3.3.1 to 3.4.2
#2461 Bump js-yaml from 4.1.0 to 4.2.0
#2462 Bump the minor-npm-dependencies group across 1 directory with 3 updates
#2463 upgrade module to esm and update dependencies
#2464 getting ready for checkout v7 release
#2467 update error wording

完整报告

Markdown PDF

参与讨论