security: サプライチェーンハードニング対応（提案・自動生成）

[kaitoyama]

Important

これは自動生成された「対応提案」PR です。
CI／サプライチェーンのハードニングを進めやすくするために機械的に変更を加えています。
変更内容が正しいか・CI が通るかは必ずメンテナご自身でご確認ください。 誤検出や、このリポジトリの文脈では不要な変更が含まれている可能性があります。不要なものは部分的に revert／close いただいて構いません。

traPtitech org 全体のセキュリティ監査に基づく提案です。

適用した変更

✅ GitHub Actions を commit SHA で固定（5 箇所）

タグ／ブランチ参照は可変で付け替えられ得るため、不変な commit SHA に固定しました（pinact を使用）。# vX コメントを残しているので Dependabot / Renovate は引き続き自動更新できます。

✅ package.json を厳密バージョンに固定（8 依存）

^/~ レンジを外し、現在の lockfile で解決されているバージョンに固定しました（npm ci / yarn install はそのまま通ります）。

• ⚠️ 現在オープン中の Dependabot PR とコンフリクトする可能性があります。レンジ運用を継続したい場合は この package.json 固定のコミットだけ revert いただいて構いません（CI 固定とは別コミットにしています）。

確認のお願い

• CI が通ることを確認した
• npm ci / yarn install が通ることを確認した

参考

• SHA pinning: pinact ／ Dependabot（github-actions）・Renovate（helpers:pinGitHubActionDigests）でも自動更新できます

---

🤖 この PR は traPtitech org セキュリティ監査の一環として自動生成されました。

[coderabbitai]

Warning

Review limit reached

@ramdos0207, we couldn't start this review because you've reached your PR review rate limit.

More reviews will be available in 48 minutes and 22 seconds. Learn how PR review limits work.

Your organization has run out of usage credits. Purchase more in the billing tab.

⌛ How to resolve this issue?

After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.

We recommend that you space out your commits to avoid hitting the rate limit.

🚦 How do rate limits work?

CodeRabbit enforces hourly rate limits for each developer per organization.

Our paid plans include higher PR review limits than trial, open-source, and free plans. In all cases, reviews become available again over time. During sustained high-volume PR review activity, CodeRabbit may temporarily slow when the next review becomes available.

Please see our Fair Usage Limits Policy for further information.

ℹ️ Review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro

Run ID: 9940b6f5-db52-4fd5-b701-bd5ae67063ab

📥 Commits

Reviewing files that changed from the base of the PR and between dd3526f and 72101c9.

📒 Files selected for processing (3)

• .github/workflows/main.yml
• .github/workflows/release.yml
• package.json

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch security/supply-chain-hardening

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands and usage tips.}