The four Elixir tools have no branch protection and the audit cannot see them

[toshi0806]

問題

LaTeX エコシステムの Elixir ツール 4 本に、ブランチ保護が 1 つも設定されていない。

ecosystem-manager    Branch not protected
registry-manager     Branch not protected
thesis-monitor       Branch not protected
elixir-tool-kit      Branch not protected

main へ直接 push できる状態で、CI が赤の PR も止まらない。

監査が届いていない

audit-repo-protection.yml のヘッダは、まさにこの事態を想定して書かれている。

これらの設定は GitHub 上にしか存在しないため、消されても、リポジトリが増えて設定漏れても、誰も気付かない

しかし config/dev-infra-protection.json に登録されているのは 11 リポジトリで、この 4 本は入っていない。desired state に無いものは突き合わせようがないため、週次監査は毎週 clean を返し続けている。想定していた失敗が、監査自身の対象範囲の外で起きた。

4 本はいずれも 2026-07 に分離・新設されたリポジトリで、その際に登録されなかったものと思われる。同じ経緯で Renovate の対象からも漏れており、そちらは smkwlab/latex-ecosystem#174 で追跡している。

対応

config/dev-infra-protection.json の repositories に 4 本を追加し、scripts/apply-repo-protection.sh --apply で反映する。

contexts は実測で確認済み。4 本とも共有ワークフロー elixir-ci.yml を呼んでおり、PR 上に必ず出るのは次の 2 つ。

ci / Code Quality   pass
ci / All checks     pass

ci / Test on OTP 27.3.4.16 / Elixir 1.17.3 のようなマトリクスのジョブ名は版を含むため指定しない（ci / All checks が集約する）。ci / Dialyzer Analysis on OTP ${{ inputs.otp-version-latest }} / ... は展開前の名前で check run が出るため、これも指定しない。

{
  "name": "ecosystem-manager",
  "allow_auto_merge": false,
  "enforce_admins": false,
  "require_pull_request": true,
  "required_status_checks": {
    "strict": ???,
    "contexts": ["ci / Code Quality", "ci / All checks"]
  }
}

strict をどちらにするか要判断

既存の 11 リポジトリは 2 つに割れている。

	strict
latex 系 6 本	false
DNS プロジェクトの Elixir 5 本	true

true の根拠は DNS 側の流量（マージが月 0〜4 件・open PR が 0〜2 件）で、再ビルドの費用が出ていないというもの。この 4 本の流量が同程度なら true、Renovate を入れて（latex-ecosystem#174）PR が増えるなら false が妥当になる。

併せて検討すること

config/dev-infra-protection.json に登録されていないエコシステムのリポジトリは、この 4 本のほかにもある。

リポジトリ	現在の状態
latex-ecosystem	保護あり・required checks なし・enforce_admins: true
aldc	保護あり・required checks なし・enforce_admins: true
thesis-student-registry	保護なし

latex-ecosystem と aldc は別 Issue で扱う。thesis-student-registry は private のデータリポジトリで、GitHub Actions が data/registry.json を更新する経路を持つため、保護の要否自体が判断事項になる。

[toshi0806]

strict の論点が文書側からも浮上した

smkwlab/latex-ecosystem#177（merge 済み、squash a8024d8）の AI レビューで、この Issue と同じ論点が別角度から指摘された。決着時の参考として記録しておく。

指摘対象は docs/DEPENDENCY-MANAGEMENT.md の「不変条件」節:

- `enforce_admins: false` は全リポジトリ共通。
  `strict: false` も保護を設定している全リポジトリで共通

現時点で Elixir ツール 4 本は保護が未設定なので、記述自体は事実として正確。問題は読まれ方で、「不変条件」は規範として読まれる節のため、事実の記述（今はすべて false）が既定の指定として機能してしまう。同じ文書の本文側には

流量の少ないリポジトリでは true を選ぶ余地がある。

とあり、4 本に保護を設定する担当者が不変条件の側だけを読むと strict: false を選ぶ。

#177 では注記を足さず、この Issue で決着した内容を文書へ反映する方針にした（未決を注記として書き足すと、決着後に二重管理になるため）。

したがって、この Issue の完了条件に文書更新が含まれる

config/dev-infra-protection.json への 4 本の追加と scripts/apply-repo-protection.sh --apply に加えて、strict をどちらに決めても docs/DEPENDENCY-MANAGEMENT.md の以下 2 箇所を追随させること:

• 189 行付近: strict: false の適用範囲の記述
• 「不変条件」節: enforce_admins: false と並記されている strict の行

なお #177 で contexts 側は確定済み。Elixir 系に設定する場合は ci / Code Quality と ci / All checks の 2 つで、どちらも共有ワークフロー elixir-ci.yml のジョブなのでリポジトリごとに名前が変わることはない。

参考: レビュースレッド smkwlab/latex-ecosystem#177 (comment)