t.hirano 6b12a95bf0 fix(ci): claude-code-actionを動作実績のあるSHAにpin ...

サードパーティ action は commit SHA による immutable 参照で利用する
（GitHub 公式の Security hardening ガイドラインで推奨）。`@v1` のような
タグ参照は上流がタグの指す先を動かすと挙動が変わる tag drift 問題を
持つ。

pin 先 cd77b50d2b0808657f8e6774085c8bf54484351c は、PR #115 (2026-03-16)
時点でグリーンだった動作確認済みのリビジョン。

経緯:
`@v1` タグが追従する SHA が更新され、PR ヘッドの `.claude/` を origin/main
から復元する挙動が入った結果、`npx skills add` で直前にインストールされた
`.claude/skills/pr-triage` が上書き削除され、`/pr-triage` スキルが呼び出せず
triage ジョブが失敗する事象が発生した（PR #116 で顕在化）。SHA pinning で
防げる典型的な tag drift 問題。

Reference:
https://docs.github.com/en/actions/security-guides/security-hardening-for-github-actions#using-third-party-actions

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

2026-04-17 13:53:07 +09:00

..

pr-review-vertex-ai.yml

fix(ci): claude-code-actionを動作実績のあるSHAにpin

2026-04-17 13:53:07 +09:00