使用自仓库语法引用同一仓库的操作

事件核心：发生了什么

2026 年 7 月 30 日，GitHub 在其 Changelog 中宣布上线“自仓库引用”语法。当工作流的 `uses:` 值以 `$/` 开头时，系统会自动解析为当前工作流所在仓库的正在运行的 exact commit，无需额外 checkout 步骤。该语法覆盖常见的引用场景：工作流步骤、复合 action 步骤、嵌套组合以及可复用工作流调用。此前，开发者若要引用同一仓库内的 action，只能靠 `./` 配合 checkout，或者硬编码版本号——前者会导致 SHA 不会自动跟随运行时的 commit，后者则在企业要求全量 commit SHA 锁定的环境下成为维护负担。新语法让内部引用与调用者指定的完整 commit SHA 自动对齐，从而使企业级安全策略在自引用场景中也能生效。该功能已对 github.com 所有用户开放，前提是 GitHub Actions 运行器版本不低于 2.336.0。

为什么重要

这一看似细微的语法变更，实际上是 GitHub Actions 在企业合规与内部协作之间的关键补齐。越来越多企业要求工作流引用的所有 action（包括自研 action）都必须固定到完整的 40 位 commit SHA，以避免供应链风险。但自仓库内部的引用既无法轻易固定版本（每次改动都需要同步更新所有工作流文件），也无法让 `./` 语法自动匹配当前运行的 SHA。`$/` 语法从根本上解决了这个矛盾：内部引用自动获得与调用者完全相同的 SHA，无需人为干预，使企业可以放心地统一执行 SHA 锁定的安全策略。对 GitHub 自身而言，这也有助于巩固其在 CI/CD 市场的竞争力，尤其是在与 GitLab CI 等对手的“原生仓库内 action 引用”体验对比中建立了优势。

对用户/开发者/创作者的影响

对所有 GitHub Actions 使用者：推荐立即将仓库内的 action 和可复用工作流引用从 `./` 或硬编码版本切换为 `$/` 语法。这能消除因 checkout 步骤删除或修改而导致的引用断裂风险，同时让多分支或 PR 场景下的调试更可靠——每个分支都能自动使用自己分支中的 action 定义。
对企业 DevOps 团队：这是合规落地的“最后一公里”。之前因自仓库引用无法满足 SHA 锁定要求而被迫放行的安全漏洞，现在可以轻松关闭。建议在组织级别的 workflow 模板和 Action 开发规范中强制推荐 `$/`。
对 Action 创作者：复合 action 的嵌套引用变得一致且可追溯，免去在每个子 action 中手动传入 ref 参数。注意需要确保 GitHub Actions 运行器版本 >= 2.336.0，否则语法会失败。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

值得关注的后续

1. 企业采纳速度：依赖 `$/` 语法的组织可能需要批量更新现有工作流，短期内可能会看到相关文档、Action 模板的更新潮。2. 运行器版本要求：自托管运行器若未升级至 2.336.0 以上，将无法使用此功能，可能推动更多团队主动更新自托管环境。3. 竞品跟进：GitLab CI 以及 Bitbucket Pipelines 类似模式是否会推出对应的仓库内“相对引用”语法，值得观察。

来源：GitHub Changelog