Convenções de Atualização do Runtime do GitHub Actions

Use esta habilidade ao editar fluxos de trabalho do GitHub Actions para resolver avisos de deprecação sobre runtimes de ações (por exemplo, migrações de runtime do Node.js).

Use Esta Habilidade Quando

• Os logs do fluxo de trabalho reportam que uma ação está sendo executada em um runtime depreciado.
• Você está atualizando versões de ações em .github/workflows/*.yml ou .github/workflows/*.yaml.
• Você precisa manter o comportamento existente do fluxo de trabalho enquanto moderniza as dependências de ações.

Regras de Atualização

• Prefira atualizar para a versão principal estável mais recente de cada ação que seja compatível com o fluxo de trabalho.
• Prefira "pins" imutáveis: resolva a versão de destino para um SHA de commit completo e use esse SHA em uses:.
• Não use "pins" em tags ou branches mutáveis (por exemplo, @v4 ou @main) em recomendações finais.
• Atualize uma ação por vez por commit (ou um grupo intimamente relacionado) para que as falhas sejam fáceis de isolar.
• Mantenha o comportamento existente do fluxo de trabalho inalterado enquanto atualiza ações de runtime/dependência.

Ações Que Monitoramos Neste Repositório

Priorize a revisão do runtime para estes grupos quando os avisos aparecerem:

• Qualquer ação de primeira parte em actions/*
• Especialmente ações de configuração em actions/setup-* (por exemplo, setup-node, setup-python, setup-dotnet)
• Qualquer outra ação explicitamente nomeada pelo aviso de deprecação do runtime nos logs do fluxo de trabalho

Padrão de "Pinning"

steps:
  - uses: actions/checkout@8ade135a41bc03ea155e62e844d188df1ea18608 # v4.3.1
  - uses: actions/setup-node@60edb5dd545a775178f52524783378180af0d1f8 # v4.0.4

Ao recomendar atualizações, identifique primeiro a versão compatível mais recente e, em seguida, use o SHA de commit correspondente com um comentário de versão opcional.

Checklist de Verificação

Após alterar as versões das ações:

1. Certifique-se de que todos os fluxos de trabalho editados ainda são analisados e mantêm os mesmos gatilhos/permissões, a menos que intencionalmente alterados.
2. Execute os fluxos de trabalho afetados (ou comandos equivalentes de build/teste local) e confirme se as etapas atualizadas são concluídas com sucesso.
3. Confirme se as etapas de lançamento/assinatura/artefato ainda produzem os resultados esperados, quando aplicável.
4. Verifique os logs de execução do fluxo de trabalho em busca de novos avisos de deprecação ou notas de migração de runtime.

Notas de PR

Inclua no resumo do PR:

• Quais ações foram atualizadas (de -> para).
• Se alguma ação não pôde ser movida para uma nova versão principal e por quê.
• Quais fluxos de trabalho foram reexecutados para validar a alteração.

Como Isso Complementa o Dependabot

O Dependabot pode automatizar muitas atualizações, mas esta habilidade ainda ajuda quando:

• O Dependabot não está habilitado para fluxos de trabalho em um repositório.
• Avisos de runtime aparecem antes que uma atualização automatizada esteja disponível.
• Um fluxo de trabalho precisa de validação que preserve o comportamento após a atualização da ação.