fix(pr-monitor): findings ファイルをワークスペース内へ移し fix agent から読めるようにする (ADR-067)

[aloekun]

問題

Phase B 実走スモーク段 2 の 3 回目 (2026-08-04) で Apply fixes が 1 ファイルも編集せず空 diff になり、4 軸ゲートが reason=empty-fix-diff で deny した。

原因は findings ファイルの置き場所である。fix agent の参照先が $RUNNER_TEMP/findings.json = /home/runner/work/_temp/findings.json で、agent の作業ディレクトリ (ワークスペース直下) の外にある。Claude Code は既定で作業ディレクトリ外のファイルアクセスを制限するため、--allowedTools に絶対パスを列挙してもディレクトリサンドボックスが別レイヤで遮る。

根拠は同一 run 内の対照であり、仮説ではない:

agent	読み取り先	permission_denials_count	ターン数	結果
Collect findings	findings-input/** (ワークスペース内)	0	3	成功・3 件検出
Apply fixes	/home/runner/work/_temp/findings.json (外)	2	3	無編集

変更

• Extract findings JSON の出力先を findings-input/findings.json へ移す (raw ファイルは agent が読まないので $RUNNER_TEMP のまま)
• Apply fixes の --allowedTools へ Read(findings-input/findings.json) を与える
• プロンプトに findings が作業ディレクトリ直下にあることを明記
• Gate fix push の --findings-file は step output 経由で同じ相対パスになる。run: の cwd が $GITHUB_WORKSPACE であるという前提を gate step のコメントに明記した

findings-input/ はワークスペースルート直下で pr/ にも master-ref/ にも含まれない素のディレクトリなので、git -C pr add -A には混入しない。ディレクトリの存在は step の if 連鎖 (Extract → findings → cr_input) が保証するため mkdir を重ねていない。

allowedTools を単一ファイルに絞る理由 (pre-push security review の指摘を反映)

ADR-067 § 残課題 1 の当初方針は Read(findings-input/**) だったが、これは誤りである。同ディレクトリには comments.json / reviews.json = 著者フィルタ済みだが未要約の raw な CodeRabbit テキストがあり、glob を与えると write 権限を持つ fix agent がそれを直接読める。

これは findings agent (read-only) と fix agent (write 可) を別プロセスに分けた ADR-054 の設計目的そのものを崩す。4 軸ゲートは path ベースの検査しか行わず (lib-docs-policy の拡張子判定と lib-scope-guard の allowlist 突き合わせ)、in-scope な docs ファイルへ何が書かれたかは検査しないため、injection が成立しても下流では捕まらない。よって単一ファイル指定に絞る。ADR-067 の方針記述は後続の docs バッチで訂正する。

検証

• js-yaml で 13 step 構成が維持されていることを確認
• $RUNNER_TEMP/findings.json の実参照が残っていないことを確認 (残る 1 件は根拠を書いたコメント文中の記述)
• 実走検証は本ブランチ ref に対する workflow_dispatch で行う (ADR-067 § 残課題 2 に従いマージ前に確認する)。単一ファイル指定の Read(...) が fix agent に効くことはこの実走で初めて確認できる。万一効かなければ findings.json を専用ディレクトリへ分離し Read(<dir>/**) を与える (raw テキストを含まないので security の指摘とも両立する)

Push fix の先回り監査 (ADR-067 § 残課題 3)

一度も実走していない Push fix step を静的に監査した。コードを変える必要のある欠陥は見つからなかったため本 PR では変更していない。

• git -C pr config user.name/email: リポジトリローカル config への書き込みで pr/.git が存在するため有効
• add -A → commit のステージ維持: 間に挟まる Gate fix push は master-ref/ の exe を実行するだけで pr/ に触れないため index は維持される。commit 直前に add -A を再実行しないことで「gate が評価した内容そのものを commit する」保証を保つ
• persist-credentials: false + token URL push: ref: <branch> 指定の checkout はローカルブランチを作るので HEAD:refs/heads/<branch> は fast-forward になる。ただし fetch-depth: 1 の shallow clone からの push は実走未検証で、ここが残る最大の不確実性

マージ方針

この PR はすぐにマージしない。 workflow_dispatch は ref を選べるため、本ブランチ ref に対して直接 dispatch し Push fix まで通ることを確認してから 1 回だけマージする (ADR-067 § 残課題 2)。段 2 の過去 3 サイクルは毎回マージしており、これは不要な手戻りだった。

🤖 Generated with Claude Code

Summary by CodeRabbit

• 改善
  • 自動レビュー結果の保存場所を統一しました。
  • 後続の自動修正処理がレビュー結果を安定して読み取れるようになりました。
  • 判定処理で使用するファイルパスの扱いを明確化しました。

[coderabbitai]

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: 5c8b185c-8eca-4af2-ae6c-cce1b07dda10

📥 Commits

Reviewing files that changed from the base of the PR and between 5f61892 and b2e1748.

📒 Files selected for processing (1)

• .github/workflows/pr-monitor.yml

---

📝 Walkthrough

Walkthrough

Findings JSONの保存先をfindings-input/findings.jsonへ変更しました。fix agentの入力案内と読み取り許可、および決定論ゲートの指定も同じワークスペース相対パスへ更新しました。

Changes

Findingsファイル連携

Layer / File(s)	Summary
Findingsファイルの生成と後続処理 .github/workflows/pr-monitor.yml	Findings JSONをワークスペース内のfindings-input/findings.jsonへ保存します。fix agentの入力案内と--allowedToolsを同じパスへ更新します。決定論ゲートがワークスペース相対パスを使用することを明記します。

Estimated code review effort: 2 (Simple) | ~10 minutes

Possibly related PRs

• aloekun/claude-code-hook-test#40: 同じcli-pr-monitorのFindings連携を変更しています。
• aloekun/claude-code-hook-test#258: 同じワークフローのFindingsファイル処理を変更しています。
• aloekun/claude-code-hook-test#352: fix agent向けのFindingsファイル処理を変更しています。

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	タイトルは、findingsファイルをワークスペース内へ移動し、fix agentから読み取れるようにする主要変更を明確に示しています。
Docstring Coverage	✅ Passed	No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch fix/wp17-phase-b-findings-path

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[github-actions]

🤖 PR Monitor 分析 (GitHub Actions バックストップ)

• トリガー: issue_comment (created) / 実行 run
• CI: pending (rust ubuntu-latest / rust windows-latest とも実行中、失敗なし)
• レビュー状況: CodeRabbit はレビュー実行中 (処理中コメントのみ、指摘未着)。人間レビュー・インラインコメントとも 0 件
• Verdict: approved (暫定 — 現時点で findings 0 件。CI・CodeRabbit レビューが未完了のため、後続トリガーでの再評価が前提)

Applicable Findings (Critical / High / Major)

該当なし (findings 未着)

Applicable Findings (Medium 以下)

該当なし

Filtered (not applicable)

該当なし

次のアクション

• CodeRabbit のレビュー完了と rust (ubuntu-latest / windows-latest) CI の完了を待ち、指摘・CI 結果が出た時点で本 workflow の後続トリガーによる再分析に委ねる (本セッションでは待機・ポーリングは行わない)。
• 変更内容 (.github/workflows/pr-monitor.yml, +21/-15, 1 ファイル): findings ファイルの配置を $RUNNER_TEMP/findings.json からワークスペース内 findings-input/findings.json に変更し、fix agent の --allowedTools 参照パスおよび決定論ゲートの --findings-file 参照パスも追随修正。ADR-067 (Phase B 無人 fix push の 4 軸ゲート) に沿った、fix agent がディレクトリサンドボックスの外にあるファイルを読めなかった問題への対処であり、意図的設計変更として妥当。
• 人間側は特段のアクション不要。CI・レビューの結果が出揃った段階で改めて確認を推奨。