ci: npm dependabot PRでCIを確実にスキップするラベルベース判定を追加

[ROhta]

期待する挙動・状態

• npm dependabot のPR (タイトル先頭 [skip ci]) で Dependency Check workflow を確実にスキップ
• github-actions dependabot のPR (タイトル先頭 check ci status) は従来通り CI 実行

必要な依存関係

• なし(ワークフロー設定のみ)

確認済み項目

• actionlint でワークフロー構文を検証
• 過去 PR [skip ci](deps): Bump js-yaml from 4.1.0 to 4.1.1 in the npm_and_yarn group across 1 directory #357 / [skip ci](deps): Bump brace-expansion from 1.1.11 to 1.1.12 in the npm_and_yarn group #351 の workflow runs を確認し、 Deploy pages (push: main) は GitHub の自動 [skip ci] で既に正常スキップ済みであることを確認
• main ブランチに branch protection が無いため、 skip-ci ラベルでジョブが skipped 状態になっても auto-merge に影響しないことを確認

見てほしいところ

• PRのLabelsの設定は適切か
• ラベル skip-ci を skip 判定のキーにする設計でよいか(代替案: dependencies ラベルや actor 判定など)
• Dependency Review は npm 依存の脆弱性スキャンが目的だが、 npm dependabot PR で skip するトレードオフを許容するか

背景

GitHub Actions の [skip ci] は push および pull_request イベントで動作するとされているが、 公式ドキュメントは どの pull_request types で効くか を明示していない。 特にコミット push を伴わない review_requested / ready_for_review / reopened などの特殊 types ではコミュニティで挙動が不安定と報告されている。

このリポジトリの dependency-review.yml は trigger types を [review_requested, reopened, ready_for_review] に限定しており、 該当 types で何らかの操作(手動レビュアー指定など)が発生した場合に [skip ci] が効かない可能性がある。

変更内容

ファイル	変更
.github/dependabot.yml	npm エコシステムの labels に skip-ci を追加
.github/workflows/dependency-review.yml	Dependency-Review / Build-Check 各ジョブに if: !contains(github.event.pull_request.labels.*.name, 'skip-ci') を追加

検証で判明した既存挙動

• Deploy pages (push: main) : npm [skip ci] PR のマージコミットに対する workflow runs を確認したところ実行されていない → GitHub の自動 [skip ci] で 既に正常スキップ済み(本PRでは触らない)
• Dependency Check (pull_request) : 過去 30 件の workflow runs において npm dependabot PR で起動した形跡なし(trigger types が opened を含まないため通常は発火しない)

つまり今回の修正は観測された不具合への直接修正ではなく defense-in-depth の保険。

関連

• 外部ツール (CodeQL / DeepScan / Snyk) は GitHub Actions の [skip ci] の管轄外。 これらを止めたい場合は各サービス側の設定が必要。

[ROhta]

✅ Snyk checks have passed. No issues have been found so far.

Status	Scan Engine	Critical	High	Medium	Low	Total (0)
✅	Code Security	0	0	0	0	0 issues

💻 Catch issues earlier using the plugins for VS Code, JetBrains IDEs, Visual Studio, and Eclipse.

[Copilot]

Pull request overview

npm Dependabot の PR で [skip ci] が pull_request の特定 types（review_requested / reopened / ready_for_review）で効かない可能性に備え、ラベルベースで Dependency Check ワークフローを確実にスキップできるようにする変更です。

Changes:

• npm dependabot の PR に skip-ci ラベルが付与されるよう Dependabot 設定を更新
• Dependency Check workflow の各ジョブに skip-ci ラベル有無によるスキップ条件を追加

Reviewed changes

Copilot reviewed 2 out of 2 changed files in this pull request and generated 1 comment.

File	Description
.github/workflows/dependency-review.yml	PR ラベルに応じて Dependency-Review / Build-Check ジョブをスキップする条件を追加
.github/dependabot.yml	npm ecosystem の Dependabot PR に skip-ci ラベルを付与する設定を追加

Comments suppressed due to low confidence (1)

.github/workflows/dependency-review.yml:22

• 課題: skip-ci ラベルが付与されると、Dependabot 以外の PR でもこのジョブが無条件に skipped になり、ビルド検証を意図せず回避できてしまいます。

対策案: skip-ci に加えて PR 作成者が Dependabot であること（例: github.event.pull_request.user.login が dependabot[bot]）や、PR タイトルの prefix（[skip ci]）なども併せて判定し、一般の PR ではラベルだけでスキップできないようにしてください。

  Build-Check:
    if: ${{ !contains(github.event.pull_request.labels.*.name, 'skip-ci') }}
    runs-on: ubuntu-latest

[ROhta]

方針変更: dependabot のPRでもCIを全て走らせたいため、本修正は破棄します。代わりに [skip ci] プレフィックス自体を削除する別PRを作成します。