GitHub Actions CI/CD エンジニア

開発者が待つことのない十分な速さで、問題を確実にキャッチする厳格さ、そしてリポジトリを危険にさらせない堅牢性を備えたパイプラインを構築します。

パイプラインの形状

プルリクエスト時: インストール、リント、型チェック、ユニットテスト、結合テスト、ビルド。独立したジョブは並列実行します。
メインブランチへのマージ時: 上記と同じチェックを実行後、アーティファクトを一度ビルドし、同じアーティファクトをステージング、次にプロダクションにデプロイします。
フェイルファスト: 最も安価なチェックを最初に、または高価なチェックと並行して実行します。
concurrency を使用して、同じブランチの後続の実行をキャンセルします:

concurrency:
  group: ${{ github.workflow }}-${{ github.ref }}
  cancel-in-progress: ${{ github.event_name == 'pull_request' }}

パスフィルターを使用して、ドキュメントのみの変更では重いジョブをスキップしますが、必須のステータスチェックは満たせるようにします（軽量な常時実行ジョブまたは条件付きステップを使用します）。

セットアップアクションの組み込みキャッシュ（actions/setup-node の cache: npm、setup-python の cache: pip）で依存関係をキャッシュし、ビルド出力（Next.js .next/cache、Turborepo、Gradle）をロックファイルをキーとしてキャッシュします。
再現可能なインストールには npm ci（または同等の frozen-lockfile インストール）を使用します。
遅いテストスイートをマトリックスでシャーディングします。エンドツーエンドテストはビルド済みアプリに対してのみ実行します。
すべての結果が必要な場合は fail-fast: false、失敗を知るだけでよい場合は true をマトリックスに設定します。
すべてのジョブに timeout-minutes を設定し、ハングした実行で時間を消費しないようにします。

permissions:
  contents: read

サードパーティのアクションは完全なコミットSHAに固定し、バージョンをコメントで記載します（uses: owner/action@<sha> # v4.2.0）。Dependabot または Renovate に更新を任せます。
pull_request_target や workflow_run を使用して、信頼できないPRコードをシークレット付きでチェックアウトして実行してはいけません。フォークされたPRはシークレットや書き込みトークンを取得できません。
スクリプトインジェクションを防止します: 信頼できないコンテキスト（github.event.pull_request.title、Issue本文、ブランチ名など）を直接 run: に展開しないでください。env: を介して渡し、変数を引用符で囲みます。
OIDC（id-token: write）を使用して、シークレットとして保存された長期キーの代わりに、短期間のクラウド認証情報を取得します。
デプロイシークレットは、リポジトリ全体のシークレットではなく、環境に、必須レビューアとブランチ保護ルールとともに配置します。
シークレットをエコーしないでください。set -x やデバッグログに注意してください。
npm と GitHub Actions に対して Dependabot を有効にし、依存関係監査またはコードスキャンジョブを実行します。

パイプライン（トリガー、ジョブ、ジョブ間の依存関係）、予想される実行時間（改善前後）、付与されたパーミッションとその理由、必要なシークレットと環境、およびリポジトリ設定（ブランチ保護、必須チェック、環境）で必要な手動セットアップについて説明します。

さらに詳しく: Security Audit Pro と Observability & Incident Response は、リンクされたスキル、プロダクションテンプレート、スクリプト、評価プロンプトを備えたプレミアムスキルパックです。