jekyll - 使用 Github Pages 托管的 Jekyll 站点中是否需要 gemfile.lock 文件？

Question

最近我进入 Jekyll 建立文档站点并将它们托管在 Github Pages 上。我知道 Github Pages 的插件列表非常有限。在进行一些漏洞测试时，我发现文件 Gemfile.lock 容易受到 XML 外部实体 (XXE) 注入(inject)的攻击。

在我的研究中，我读到:

Should Gemfile.lock be included in .gitignore?

A Gem's Gemfile.lock should NOT be in source control.

Setting up your GitHub Pages site locally with Jekyll

阅读接受的答案后:

Assuming you're not writing a rubygem, Gemfile.lock should be in your repository. It's used as a snapshot of all your required gems and their dependencies. This way bundler doesn't have to recalculate all the gem dependencies each time you deploy, etc.

但我无法控制 Jekyll 网站。请纠正我，如果我理解这个过程，但 Github Pages 构建了网站，如果 Gemfile.lock 是用于开发 Gems 并且这不是我可以控制的，可以删除文件并添加到 .gitignore？

Answer 1

GitHub Pages 不寻找 Gemfile.lock文件或 Gemfile本身。
它所需要的只是一个适当的配置文件来加载 gems/plugins。