ci: pin actions/checkout and shivammathur/setup-php action to specific commit#60
ci: pin actions/checkout and shivammathur/setup-php action to specific commit#60
Conversation
Walkthrough.github/workflows の3つのワークフロー（cron.yml, security.yml, test.yml）で、actions/checkout と shivammathur/setup-php の参照をタグから特定のコミットSHAに固定。手順内容や順序、制御フロー自体の変更はなし。 Changes
Estimated code review effort🎯 1 (Trivial) | ⏱️ ~3 minutes Poem
✨ Finishing Touches🧪 Generate unit tests
🪧 TipsChatThere are 3 ways to chat with CodeRabbit:
SupportNeed help? Create a ticket on our support page for assistance with any issues or questions. CodeRabbit Commands (Invoked using PR/Issue comments)Type Other keywords and placeholders
CodeRabbit Configuration File (
|
![coderabbitai[bot]](https://avatars.githubusercontent.com/in/347564?s=60&v=4){kind=small}
There was a problem hiding this comment.
Actionable comments posted: 1
🧹 Nitpick comments (1)
.github/workflows/test.yml (1)
27-27: commit SHA へのピン留めは妥当です（setup-php）再現性とサプライチェーン耐性が向上します。定期的なローテーション運用（Dependabot など）も合わせて検討してください。
依頼があれば
.github/dependabot.ymlの雛形を提案します。
📜 Review details
Configuration used: CodeRabbit UI
Review profile: CHILL
Plan: Pro
💡 Knowledge Base configuration:
- MCP integration is disabled by default for public repositories
- Jira integration is disabled by default for public repositories
- Linear integration is disabled by default for public repositories
You can enable these sources in your CodeRabbit configuration.
📒 Files selected for processing (3)
.github/workflows/cron.yml(1 hunks).github/workflows/security.yml(1 hunks).github/workflows/test.yml(1 hunks)
🔇 Additional comments (4)
.github/workflows/test.yml (1)
33-33: 承認: SHA は検証済みです
actions/checkout@ff7abcd0c3… と shivammathur/setup-php@ec406be512… は公式リポジトリ由来かつ署名検証済みのコミットであり、後者はタグ v2 (2.35.4) に含まれています。.github/workflows/security.yml (2)
25-25: commit SHA へのピン留めは妥当です（setup-php）セキュリティ観点での意図に合致しています。
30-30: commit SHA へのピン留めは妥当です（checkout）このジョブでは push を行わないため、現状のパラメータで問題ありません。
.github/workflows/cron.yml (1)
18-18: commit SHA へのピン留めは妥当です（setup-php）OK です。他ワークフローと SHA を統一できており良いです。
|
|
||
| - name: Checkout Code | ||
| uses: actions/checkout@v5 | ||
| uses: actions/checkout@ff7abcd0c3c05ccf6adc123a8cd1fd4fb30fb493 |
There was a problem hiding this comment.
🛠️ Refactor suggestion
push／rebase を行うジョブなので fetch-depth: 0 を必須指定してください
浅い履歴（デフォルト depth=1）のまま git pull --rebase を行うと失敗・コンフリクト発生時の復旧不可リスクがあります。
適用例:
- - name: Checkout Code
- uses: actions/checkout@ff7abcd0c3c05ccf6adc123a8cd1fd4fb30fb493
+ - name: Checkout Code
+ uses: actions/checkout@ff7abcd0c3c05ccf6adc123a8cd1fd4fb30fb493
+ with:
+ fetch-depth: 0
+ # （任意）運用上 gh-pages 固定が安全なら明示:
+ # ref: gh-pages📝 Committable suggestion
‼️ IMPORTANT
Carefully review the code before committing. Ensure that it accurately replaces the highlighted code, contains no missing lines, and has no issues with indentation. Thoroughly test & benchmark the code to ensure it meets the requirements.
| uses: actions/checkout@ff7abcd0c3c05ccf6adc123a8cd1fd4fb30fb493 | |
| - name: Checkout Code | |
| uses: actions/checkout@ff7abcd0c3c05ccf6adc123a8cd1fd4fb30fb493 | |
| with: | |
| fetch-depth: 0 | |
| # （任意）運用上 gh-pages 固定が安全なら明示: | |
| # ref: gh-pages |
🤖 Prompt for AI Agents
.github/workflows/cron.yml around line 23: the actions/checkout step is using
the default shallow clone which risks failing or making rebases unrecoverable;
update the checkout action to perform a full clone by adding a with:
fetch-depth: 0 block for that step so subsequent git pull --rebase or
push/rebase jobs have full history available and can recover from conflicts.
There was a problem hiding this comment.
@shimomo 了解しました。別のPRでの対応で問題ありません！
現在のPRはアクションの固定に集中しているので、fetch-depthの件は分けて対応するのが適切ですね。
🐰
o_o
( )
^^^
1 participant
セキュリティ強化のために actions/checkout と shivammathur/setup-php のバージョンを特定のコミット SHA に固定しました。
Summary by CodeRabbit