fix: Actions バージョンピンニングと自動更新パイプライン修正

[keito4]

Summary

• trivy-action@master → @v0.34.0 に固定（サプライチェーン攻撃リスク軽減）
• anchore/sbom-action@v0 → @v0.22.2 に固定
• 自動ライブラリ更新PRのコミットタイプを chore: → fix: に変更（commitlint codex-release-type ルールとの整合性確保、semantic-release トリガー対応）
• テンプレートの setup-node@v6.1.0 → @v6.2.0 に更新（7箇所）
• テンプレートの github-script@v7 → @v8 に更新（2箇所）

Changes

セキュリティ修正

ファイル	変更
container-security.yml	trivy-action@master → @v0.34.0（3箇所）
container-security.yml	anchore/sbom-action@v0 → @v0.22.2（1箇所）

パイプライン修正

ファイル	変更
update-libraries.yml	branch/commit-message/title の chore: → fix:

テンプレート更新

ファイル	変更
templates/unified-ci.yml	setup-node@v6.2.0, github-script@v8
templates/monorepo-release.yml	setup-node@v6.2.0（3箇所）
templates/update-db-types.yml	setup-node@v6.2.0
templates/README.md	setup-node@v6.2.0

Test plan

• actionlint ジョブが緑であること
• trivy-action@v0.34.0 のバージョンが有効であること
• テンプレートのバージョンが本番ワークフローと一致していること（@v6.2.0 / @v8）

🤖 Generated with Claude Code

Summary by CodeRabbit

• Chores
  • Updated GitHub Actions tool versions across CI/CD workflows to latest stable releases for improved compatibility and reliability
  • Enhanced container security and vulnerability scanning capabilities with updated security tool versions
  • Standardized automated workflow branch naming conventions and associated documentation for consistency

[coderabbitai]

📝 Walkthrough

Walkthrough

GitHub Actions across multiple workflows are version-pinned, with Trivy upgraded to v0.34.0, SBOM to v0.22.2, Setup Node.js to v6.2.0, and GitHub Script to v8. Additionally, the auto-library-update workflow branch is renamed from chore to fix with corresponding commit messaging updates.

Changes

Cohort / File(s)	Summary
Container Security Actions .github/workflows/container-security.yml	Pins Trivy action from master to v0.34.0 across three steps and upgrades SBOM generation from v0 to v0.22.2.
Node.js Setup in Workflow Templates .github/workflows/templates/monorepo-release.yml, .github/workflows/templates/unified-ci.yml, .github/workflows/templates/update-db-types.yml	Updates Setup Node.js action from v6.1.0 to v6.2.0 across multiple workflow steps.
GitHub Script in Templates .github/workflows/templates/unified-ci.yml	Upgrades GitHub Script action from v7 to v8 in three workflow steps.
Auto-Library Update Workflow .github/workflows/update-libraries.yml	Renames PR branch from chore/auto-library-update to fix/auto-library-update with matching commit message and title updates.
Documentation Update .github/workflows/templates/README.md	Updates documented Setup Node.js action version reference from v6.1.0 to v6.2.0.

Estimated code review effort

🎯 2 (Simple) | ⏱️ ~8 minutes

Possibly related PRs

• fix: Trivy スキャンで検出された CVE-2025-68121 に対応 #461: Modifies Trivy steps in container-security.yml with additional parameter updates
• chore: automate library updates #129: Updates the auto-library-update workflow branch naming and messaging structure
• fix: align CI tooling and MCP setup #392: Contains related GitHub Actions version pin updates across workflow files

Suggested labels

size/S

Poem

🐰 Versions hop and actions spring,
From master branches, pinned things sing,
Trivy guards with v0.34's cheer,
Node.js v6.2 draws near,
Fix branch blooms where chores once grew!

🚥 Pre-merge checks | ✅ 4

✅ Passed checks (4 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	The PR title in Japanese references version pinning and pipeline fixes, which accurately reflects the main changes: updating GitHub Actions versions across multiple workflows and fixing the auto-library-update pipeline prefix.
Docstring Coverage	✅ Passed	No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check.
Merge Conflict Detection	✅ Passed	✅ No merge conflicts detected when merging into main

_{✏️ Tip: You can configure your own custom pre-merge checks in the settings.}

✨ Finishing touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Post copyable unit tests in a comment
• Commit unit tests in branch fix/ci-security-and-pipeline

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands and usage tips.}

[keito4]

🔍 AI Code Review (Local Hook)

Models: Codex (default) / Gemini (default)

🤖 Codex Review

指摘事項はありません。今回の変更はアクションのバージョン固定とテンプレート更新、PR作成用のブランチ名/タイトル変更のみで、明確な不具合やリスク増加は確認できませんでした。

判定: patch is correct（安全なバージョン固定と文言変更のみで、動作影響が見当たらないため） 信頼度: 0.78

---

🤖 Generated by post_pr_ai_review.py hook

[claude]

PR Review: Actions バージョンピンニングと自動更新パイプライン修正

✅ 全体評価

このPRは高品質です。セキュリティのベストプラクティスに従い、リポジトリの既存ルールとの整合性を確保しています。

---

🎯 コード品質とベストプラクティス

優れている点

1. サプライチェーン攻撃対策の改善

   • .github/workflows/container-security.yml:63,79,88
   • trivy-action@master → @v0.34.0 へのピンニングは excellent practice
   • floating tag（@master）の使用はサプライチェーン攻撃のリスクがあり、今回の修正で大幅に軽減

2. バージョン指定の一貫性向上

   • .github/workflows/container-security.yml:137
   • anchore/sbom-action@v0 → @v0.22.2 で具体的なバージョンを指定
   • セキュリティツールのバージョンを固定することで、予期しない動作変更を防止

3. リポジトリルールとの整合性確保

   • .github/workflows/update-libraries.yml:71,73,74
   • chore: → fix: への変更は commitlint.config.js:3,4-11,32 の codex-release-type ルールに完全準拠
   • npm/global.json や package*.json の変更時はリリース型（feat/fix/perf/revert/docs）必須という設計思想に合致
   • semantic-release との統合を適切に考慮

4. テンプレートの最新化

   • setup-node@v6.2.0, github-script@v8 への更新は最新の機能とセキュリティパッチを享受

---

🔒 セキュリティ評価

項目	評価	詳細
Action バージョンピンニング	✅ 優秀	サプライチェーン攻撃リスクを大幅削減
脆弱性スキャンツール固定	✅ 優秀	Trivy/Anchore のバージョンを明示的に管理
機密情報の漏洩	✅ 問題なし	トークンやシークレットは適切に処理

推奨事項:

• 今後、定期的に固定したバージョンの更新を確認（Dependabot や Renovate の活用を検討）
• .trivyignore の内容を定期的にレビューし、無視している脆弱性が修正されているか確認

---

⚡ パフォーマンス考察

項目	影響	備考
CI 実行時間	変更なし	バージョン変更のみでパフォーマンスへの影響は最小限
キャッシュ効率	変更なし	Node.js キャッシュ戦略に変更なし
並列実行	維持	ジョブの並列性は維持

---

🐛 潜在的な問題・改善提案

軽微な懸念点

1. バージョン固定の保守性

   • 固定したバージョンが古くなった際の更新プロセスが明確でない
   • 提案: Dependabot または Renovate を使用して Actions のバージョンを自動更新する設定を追加

   # .github/dependabot.yml (例)
   version: 2
   updates:
     - package-ecosystem: "github-actions"
       directory: "/"
       schedule:
         interval: "weekly"

2. テンプレートと実際のワークフローの同期

   • テンプレートを更新したが、既存の運用ワークフローが同期されているか要確認
   • 提案: テンプレート更新時に実際のワークフローもチェックするプロセスを確立

質問・確認事項

• trivy-action@v0.34.0 は最新バージョンですか？リリースノートで重要な変更はありますか？
• anchore/sbom-action@v0.22.2 を選択した根拠は何ですか？

---

🧪 テストカバレッジ

PR の Test Plan に記載されている項目:

• ✅ actionlint ジョブが緑（CI で確認済み）
• ⚠️ trivy-action@v0.34.0 のバージョン有効性（手動確認推奨）
• ⚠️ テンプレートと本番ワークフローの一致（差分確認推奨）

推奨:

• container-security.yml ワークフローを手動実行して、新バージョンで正常動作することを確認
• テンプレートを使用している他のリポジトリへの影響範囲を確認

---

📋 ドキュメンテーション

項目	状態	備考
PR 本文	✅ 優秀	Summary, Changes, Test plan が明確
コミットメッセージ	✅ 適切	Conventional Commits に準拠
関連ドキュメント更新	✅ 含まれる	templates/README.md も更新済み

---

🎯 総合評価とアクションアイテム

承認推奨: ✅ このPRは品質基準を満たしており、マージ可能です

マージ前の確認事項:

1. ✅ CI が全て緑であることを確認（claude-review 完了待ち）
2. ⚠️ container-security ワークフローを手動実行して動作確認（推奨）
3. ⚠️ 固定したバージョンが最新の stable release であることを確認

マージ後の推奨アクション:

1. Dependabot または Renovate で GitHub Actions の自動更新を設定
2. 他のリポジトリで同様の floating tags を使用していないか監査
3. 定期的な依存関係更新プロセスを確立

---

🤖 結論

このPRはセキュリティ強化とリポジトリルール整合性の観点で非常に価値がある変更です。

特に commitlint.config.js の codex-release-type ルールに準拠するための chore: → fix: 変更は、semantic-release との統合を適切に考慮した設計判断です。

LGTM! 🚀

---

Reviewed by Claude Code

[coderabbitai]

🧹 Nitpick comments (1)

.github/workflows/update-libraries.yml (1)

71-74: Confirm that fix: is the intended commit type for dependency updates.

Changing from chore: to fix: means every automated library update will trigger a patch release via semantic-release. This is semantically unusual — dependency updates are conventionally chore: — but the PR objectives state this is intentional for commitlint/semantic-release compatibility. Just ensure this version-bump cadence is desired; each weekly library refresh will now produce a new release.

[github-actions]

🎉 This PR is included in version 1.75.0 🎉

The release is available on GitHub release

Your semantic-release bot 📦🚀