O Que É um Pinned Digest?
Um pinned digest é uma referência a um artifact pelo seu hash de conteúdo criptográfico (digest) em vez de uma tag móvel, como em uma imagem referenciada por sha256:abc... em vez de :latest. Como o digest é derivado do conteúdo, a referência só pode resolver para aquele artifact exato, byte a byte. Fixar (pin) por digest é a forma mais forte de version pinning.
Por que isso importa
Tags podem ser reapontadas e até versões semânticas podem ser republicadas, mas um digest não pode mudar sem mudar o conteúdo, então fixá-lo remove toda uma classe de risco de supply chain. GitHub Actions, imagens base e dependências são todos mais seguros fixados por digest, ao custo de precisar de tooling para atualizar os pins.
Conceitos relacionados
- Referencia conteúdo por hash, não por uma tag móvel
- A forma mais forte de pinning de dependência
- Tooling como o Dependabot atualiza pinned digests
Guias relacionados
What Is an Image Digest?An image digest is a cryptographic hash that uniquely and immutably identifies the exact contents of a contai…
What Is Dependency Pinning?Dependency pinning fixes dependencies to exact versions (or hashes) instead of ranges, so builds are predicta…
What Is an Immutable Tag?An immutable tag is a container or artifact tag that can never be reassigned after it is first pushed, guaran…