[infra] .github/workflows/ の CI / CD pipeline 設計

[sotashimozono]

Question

.github/workflows/ 内の CI / CD pipeline 設計。Rust project の現代的構成を念頭に。

Proposed workflow files

File	発火	内容
ci.yml	PR + push to main	cargo fmt --check, cargo clippy -D warnings, cargo test (linux/macos/windows matrix)
release.yml	tag v* push	cross-platform binary build (x86_64/aarch64 × linux/macos/windows), Github Release upload
publish.yml	tag v* (after release.yml)	cargo publish to crates.io
dependabot.yml	weekly	cargo + github_actions deps update PR
codeql.yml	weekly + PR	static security scan
mcp-smoke.yml	PR + push	start MCP server, send sample tool calls, assert response shape
audit.yml	PR + weekly	cargo audit + cargo deny check

Open questions

• MSRV (Minimum Supported Rust Version): latest stable / 1.75 / 1.80 ?
• Linux binary: glibc + musl 両方？ musl のみ？
• macOS binary: universal (x86_64 + arm64) / 2 つ別？
• Windows binary: msvc / gnu / 両方？
• CI matrix の greedy 度: 3 OS × 2 Rust ver × 2 features = 12 jobs / もっと絞る？
• Release signing: sigstore (cosign) で署名するか？
• SBOM: cargo-sbom で生成するか？

Recommendation (我推し)

• ci.yml + release.yml + dependabot.yml + audit.yml をまず Phase 0 で
• mcp-smoke.yml は Phase 3 (MCP serve 実装後)
• codeql.yml は Phase 5 以降 (TDM source 入って secret 触り出してから)
• MSRV: stable - 2 リリース (現時点なら 1.78 程度)
• macOS: universal binary、Linux: musl static、Windows: msvc

Decision

???

[sotashimozono]

Filed as external review by Claude (Anthropic, AI agent operating under souta's GitHub auth). Reads with #12 (Threat model) / #16 (Legal posture).

立場

提案 workflow file 一覧 (ci.yml, release.yml, publish.yml, dependabot.yml, codeql.yml, mcp-smoke.yml, audit.yml) は 必要十分に近い が、 #16 / #12 で reviewer が提案した posture / threat model 対応のために以下を追加・修正します。

1. 追加すべき workflow

posture-lint.yml (#16 §6 / #4 から)

on: [pull_request, push]
jobs:
  posture-lint:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@<sha>
      - name: Forbidden marketing terms
        run: |
          ! grep -r -i -E "bypass|circumvent|free papers|sci-hub" \
            README.md docs/ 2>&1
      - name: Forbidden HTTP transport imports
        run: |
          ! grep -r -E "use\s+(axum|actix_web|hyper::Server|warp|tide)" \
            crates/ 2>&1
      - name: Forbidden self-update / telemetry crates
        run: |
          ! grep -r -E "self_update|sentry|google_analytics|posthog" \
            crates/ Cargo.toml 2>&1

これで marketing 用語 / HTTP transport / telemetry の community PR 流入を構造的にブロック。

cross-tool-compat.yml (#1 / #2 から)

on: [pull_request, push]
jobs:
  bibliofetch-roundtrip:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@<sha>
      - name: Setup Julia + BiblioFetch.jl
        run: |
          # install julia, add BiblioFetch.jl
      - name: Setup Rust + doiget
        run: cargo build --release
      - name: Round-trip test
        run: |
          # 1. bibliofetch fetch DOI X
          # 2. doiget info X
          # 3. doiget bib X | diff - <expected_bib>
          # 4. doiget fetch DOI Y
          # 5. bibliofetch info Y

これは Phase 0 から動かす想定。 store schema 互換性の regression detector。

safekey-vectors.yml (#1 §Contract 4 から)

jobs:
  safekey-test:
    steps:
      - name: Run reference test vectors
        run: cargo test --test safekey_vectors

docs/SAFEKEY.md の test vectors を normative test として CI で常時検証。

2. release workflow の hardening

本文の release.yml を以下に upgrade:

Trusted publishing (OIDC)

cargo publish の API token は GitHub Secret 経由を やめる。 crates.io trusted publishing (OIDC) を採用:

publish:
  permissions:
    id-token: write    # OIDC
    contents: read
  steps:
    - uses: rust-lang/crates-io-auth-action@<sha>
    - run: cargo publish

これで API token を repo に置かず、 short-lived OIDC token で publish。 漏洩リスクを構造的に削減。

Environment-protected workflow

release を GitHub Environment として作成し、 author 手動承認を required:

publish:
  environment: production
  ...

malicious commit が main に紛れた場合でも、 release 段階で author の手動承認が必要 = 自動 publish を防ぐ。

Sigstore keyless signing

sign:
  permissions:
    id-token: write
  steps:
    - uses: sigstore/cosign-installer@<sha>
    - run: cosign sign-blob --yes target/release/doiget

binary に署名を付け、 user が cosign verify-blob で出処を検証可能に。 supply-chain 攻撃の検出層。

Action SHA pinning

すべての 3rd-party action を SHA で pin:

- uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11  # v4.1.1

@v4 / @main の floating tag は使わない。 dependabot で SHA も update する。

3. CI matrix の絞り込み

本文 open question への reviewer 回答:

• OS: Linux (musl) / macOS (universal) / Windows (msvc) の 3 つで full test
• Rust: stable のみ (MSRV 検証は別 job で latest stable - 2 を 1 つだけ走らせる)
• Features:
  • --features oa-only (default、 必須 test)
  • --no-default-features (構造的 sanity)
  • --all-features (compile only、 test 不要)
  • TDM features は CI で test しない (実 publisher API key を CI に置かないため)

合計 = 3 OS × 1 Rust × 3 features = 9 jobs (本文の "12 jobs" より絞れる)。

4. MSRV 戦略

本文 open question への reviewer 回答:

• MSRV: stable - 2 (現在 stable=1.85 なら 1.83)
• 2 リリース古いが mainstream tooling は対応する範囲
• Cargo.toml に rust-version = "1.83" を明記
• CI matrix で MSRV 1 job + latest stable 1 job

[package]
rust-version = "1.83"

5. Linux binary distribution

本文 open question への reviewer 回答:

• musl static を採用、 glibc は出さない
• 理由: agent / Docker 環境で glibc version 差異の事故を避けたい、 fully static binary は portability 高
• target: x86_64-unknown-linux-musl + aarch64-unknown-linux-musl
• cross crate で cross-compile

6. macOS binary

本文 open question への reviewer 回答:

• universal binary (x86_64 + arm64 を lipo で fat binary 化)
• 理由: Homebrew tap publish 時に 1 binary で Intel / Apple Silicon 両対応、 user 混乱を最小化
• macOS 11+ を minimum support

7. Windows binary

本文 open question への reviewer 回答:

• msvc のみ。 gnu は出さない
• 理由: msvc のほうが Windows native との ABI 互換性が高く、 institutional 環境で検証しやすい
• target: x86_64-pc-windows-msvc (arm64 は当面不要)

8. Reproducible builds

本文 open question への補足 + #12 §5 を統合:

• Cargo.lock を commit、 cargo build --locked を CI / release で使用
• RUSTFLAGS を release.yml で固定 (-C target-cpu=generic など)
• rustc version を rust-toolchain.toml で pin
• これで CI builds と user local builds が bit-identical に近づく

9. SBOM (Software Bill of Materials)

本文 open question への reviewer 回答:

• SBOM 生成は yes。 release artifact に同梱
• cargo-sbom で SPDX 形式 出力
• release.yml で生成し、 doiget-v0.1.0-sbom.spdx.json を Github Release に add

10. dependabot config の調整

本文 dependabot.yml weekly は OK、 但し:

• auto-merge は無効。 PR を作るが、 merge は author 手動 ([security] threat model + security 対策 #12 supply-chain 対策)
• group rule で minor / patch を 1 PR に集約 (review コスト削減)
• security updates は priority 高で別 PR

updates:
  - package-ecosystem: cargo
    schedule: { interval: weekly }
    groups:
      minor-and-patch:
        update-types: [minor, patch]

11. CodeQL の Phase 配置

本文 "Phase 5 以降" は遅すぎる。 reviewer 推奨は Phase 0 から:

• doiget は HTTP client / file I/O / 環境変数読み込みなど CodeQL が得意な surface を多く持つ
• 早期に scan を回すと regression を 1 PR ずつ修正できる
• 設定コストは ~1 時間
• weekly + PR trigger で十分

12. mcp-smoke.yml の中身を spec lock

本文 "MCP server を起動して sample tool calls" を具体化:

mcp-smoke:
  steps:
    - run: cargo build --release
    - name: Spawn MCP server and probe
      run: |
        ./target/release/doiget serve <<EOF | python tests/mcp_smoke.py
        {"jsonrpc":"2.0","id":1,"method":"initialize","params":{...}}
        {"jsonrpc":"2.0","id":2,"method":"tools/list","params":{}}
        {"jsonrpc":"2.0","id":3,"method":"tools/call","params":{"name":"doiget_health"}}
        EOF

assertion は: stdout が JSON-RPC frame のみ / stderr が任意 / process が graceful shutdown する。 #4 §stdout-noise-zero と整合。

Reviewer Decision proposal

• 本文の workflow files に 追加 3 file (posture-lint / cross-tool-compat / safekey-vectors) を Phase 0 から
• release.yml に OIDC trusted publishing + environment-protected + sigstore signing + Action SHA pin
• CI matrix を 3 OS × 1 Rust × 3 features = 9 jobs に絞る
• MSRV = stable - 2、 rust-toolchain.toml で pin
• musl static (Linux) / universal (macOS) / msvc (Windows)
• Reproducible build 設定
• SBOM 生成を release.yml に
• dependabot は auto-merge 無効、 minor/patch group 化
• CodeQL を Phase 0 から
• mcp-smoke.yml の spec を Phase 3 で確定

最終 Decision 権は author に留保。

---

Reviewer: Claude (Anthropic). Filed 2026-05-05.