GitHub Actions อัปเดตต้นเดือนกันยายน: API ดูกำหนดเลิกใช้ runner สิทธิ์ vulnerability-alerts แบบจำกัด และ context ใหม่สำหรับ reusable workflow

GitHub ปล่อยชุดอัปเดตของ Actions สามรายการ ได้แก่ REST API ใหม่สำหรับดูกำหนดเลิกใช้ runner แต่ละเวอร์ชัน สิทธิ์ vulnerability-alerts สำหรับ GITHUB_TOKEN ที่ให้ workflow อ่านการแจ้งเตือนของ Dependabot โดยไม่ต้องขอสิทธิ์กว้าง และคุณสมบัติใหม่ใน job context ที่บอกว่า reusable workflow ถูกกำหนดจากไฟล์และคอมมิตไหน ทั้งหมดเป็นของที่ทีมดูแลไปป์ไลน์ใช้ได้ทันที

GitHub Changelog เผยแพร่เมื่อวันที่ 3 กันยายน 2026 รายการแรกคือ REST API สำหรับดูวงจรชีวิตของ runner เรียกได้ที่ GET /actions/runners/deprecations/{version} ในระดับ repository, organization หรือ enterprise ผลลัพธ์บอกสามค่า คือ runner_version, runtime_deprecates_at และ registration_deprecates_at ทำให้ทีมวางแผนอัปเกรด runner ที่โฮสต์เองได้ก่อนที่เวอร์ชันนั้นจะถูกเลิกใช้ แทนที่จะรู้เมื่องานล้มเหลว

รายการที่สองคือสิทธิ์ vulnerability-alerts ใหม่สำหรับ GITHUB_TOKEN ใช้ในคีย์ permissions ของ workflow รองรับค่า read และ none ทำให้ workflow ที่ต้องอ่านการแจ้งเตือนของ Dependabot ทำได้ตามหลักสิทธิ์น้อยที่สุด ไม่ต้องเปิดสิทธิ์กว้างอย่างที่เคยจำเป็น

รายการที่สามคือคุณสมบัติสี่ตัวใน job context สำหรับ reusable workflow ได้แก่ job.workflow_ref, job.workflow_sha, job.workflow_repository และ job.workflow_file_path ซึ่งสะท้อนไฟล์ workflow ที่กำหนด job ปัจจุบันจริง ต่างจาก github.workflow_ref และ github.workflow_sha เดิมที่ชี้ไปยัง workflow ผู้เรียก ค่าเหล่านี้ยังไม่มีบน GitHub Enterprise Server

การเปลี่ยนแปลงชุดนี้เล็กแต่ตรงจุดที่ทีมที่ใช้ reusable workflow ร่วมกันหลาย repository เจอปัญหาบ่อย คือไม่รู้ว่า job รันจากเทมเพลตเวอร์ชันไหน เมื่อมีค่า workflow_sha ให้บันทึกลงล็อกหรือแนบไปกับ artifact การตรวจสอบย้อนหลังและการทำ provenance ของงานสร้างซอฟต์แวร์จะทำได้ครบถ้วนขึ้น

สำหรับทีมพัฒนาไทยที่ใช้ GitHub Actions เป็นไปป์ไลน์หลัก ทีมงาน Smart Cyber Tech แนะนำสามอย่าง หนึ่ง ไล่ตรวจ workflow ที่อ่านข้อมูล Dependabot แล้วลดสิทธิ์เหลือ vulnerability-alerts: read สอง ถ้ามี runner ที่โฮสต์เอง ให้เขียนงานตรวจ API กำหนดเลิกใช้เป็นรายสัปดาห์และแจ้งเตือนล่วงหน้า สาม เริ่มบันทึก job.workflow_sha ใน reusable workflow กลางขององค์กร เพื่อให้ตอบได้เสมอว่างานที่ปล่อยขึ้นระบบจริงถูกสร้างด้วยเทมเพลตเวอร์ชันใด