版本标签可以随时被指向别的提交，只有完整 SHA 能锁住内容。再配上最小权限和 Dependabot，才算把 CI 的门关上。

一个社区非营利，一个公司主导；功能上九成重合，差别在治理与升级路径。Forgejo 17.0.0 刚发布，官方却建议先别升。