ci(deps): bump actions/checkout from 7.0.0 to 7.0.1 - #130
Merged
github-actions[bot] merged 3 commits intoJul 31, 2026
Merged
Conversation
Bumps [actions/checkout](https://github.com/actions/checkout) from 7.0.0 to 7.0.1. - [Release notes](https://github.com/actions/checkout/releases) - [Changelog](https://github.com/actions/checkout/blob/main/CHANGELOG.md) - [Commits](actions/checkout@9c091bb...3d3c42e) --- updated-dependencies: - dependency-name: actions/checkout dependency-version: 7.0.1 dependency-type: direct:production update-type: version-update:semver-patch ... Signed-off-by: dependabot[bot] <support@github.com>
dependabot
Bot
added
dependencies
dependabot
Bot
added
github-actions
![github-advanced-security[bot]](https://avatars.githubusercontent.com/in/57789?s=60&v=4){kind=small}
lychee.ymlのactions/checkoutピン留めコメントが過去の複数回のdependabot更新で 「置換」ではなく「連結」されてしまい、存在しない参照(v4.1.7.0.1)を指していた。 他の全ワークフローファイルと同じ正しい表記(v7.0.1)に修正。 レビューコメント: #130 (comment) レビュアー: github-advanced-security 優先度: high
|
genzouw
approved these changes
Jul 31, 2026
genzouw
left a comment
genzouw
left a comment
Owner
There was a problem hiding this comment.
Pull Request レビューサマリー
✅ 全体評価
actions/checkout のハッシュピンを v7.0.0 から v7.0.1 へ差し替えるだけの変更で、25ファイル30箇所すべてが同一SHAに揃っています。フルSHAピン + バージョンコメントという形式も、各ステップの persist-credentials: false も維持されているため、サプライチェーン面の後退はありません。
🔍 レビューで検証した内容
- SHAとタグの対応:
gh api repos/actions/checkout/git/ref/tags/v7.0.1が3d3c42e5aac5ba805825da76410c181273ba90b1を指すことを確認しました。該当コミットのメッセージもprep v7.0.1 release (#2531)で一致しています - 更新漏れの有無: main 側の
actions/checkout@参照は25ファイル30箇所で、本PRの変更ファイル数と差分行数（+30 / -30）に一致します。.github/配下および他のファイルに旧SHA9c091bb...の残存はありません - 破壊的変更: 7.0.0 → 7.0.1 はパッチ更新で、
fetch-depth: 0やpersist-credentialsなどの入力仕様に変更はありません - CI: 全チェックが pass しています。actionlint / zizmor / OSV-Scanner / Trivy / SonarCloud いずれも指摘なしです
✨ 良かった点
.github/workflows/lychee.yml:33のバージョンコメントを、dependabot が生成した壊れた表記からv7.0.1に直してある点（9a4e76f）が効いています。main 側では zizmor のref-version-mismatchアラートが未解決のまま残っているので、このPRのマージでそのまま閉じられます。残り29箇所との表記も揃いました- v7.0.1 の中身には
skip running unsafe pr check if input is default（actions/checkout#2518）が含まれています。labeler.ymlはpull_request_targetかつref未指定で checkout しており、v7.0.0 で入った fork PR チェックの影響を受けうる形なので、パッチ更新とはいえ取り込む価値があります
💡 推奨事項
- lychee.yml のコメント破損（
# v4.1.7.0.0）は main 側に残っています。7.0.2 などが出て本PRが差し替えで閉じられると、同じ壊れ方が再発します。このPRは早めにマージしたいです - 手でコミットを積んでいるので
@dependabot rebase/@dependabot recreateは打たないでください。9a4e76f の修正が消えます - 本PRの範囲外ですが、zizmor の
dependabot-cooldownが.github/dependabot.ymlに対して open のままです。cooldownにdefault-days: 7を入れておくと、リリース直後の版を即取り込むリスクを下げられます。別Issueで対応したいです
🎯 承認
更新漏れがなく、SHAとタグの対応も実際に検証できたため、このPRを承認します。auto-merge の対象（semver-patch）なので、承認後はそのままマージまで進みます。
zizmor が拾ったコメント不整合を後回しにせずPR内で潰してあるので、マージ後の main はワークフロー30箇所すべてが v7.0.1 表記で揃った状態になります。次回以降の更新でも差分が読みやすくなります。
dependabot
Bot
deleted the
dependabot/github_actions/main/actions/checkout-7.0.1
branch
July 31, 2026 08:49
genzouw
added a commit
that referenced
this pull request
Jul 31, 2026
## 概要 `github/codeql-action` のサブパスごとに Dependabot PR が分散し、CodeQL が毎回失敗する問題を構造的に解消する。あわせて zizmor の `dependabot-cooldown` 指摘に対応する。 ## 背景 / 根本原因 `github/codeql-action` は `init` / `autobuild` / `analyze` / `upload-sarif` が**同一バージョンである必要がある**が、Dependabot はこれらを別々の依存として扱うため、サブパスごとに個別の PR を作成する。その結果バージョンが揃わず、CodeQL が以下のエラーで必ず失敗していた。 ``` ##[error]Loaded a configuration file for version '4.37.0', but running version '4.37.3' ``` このため過去の PR では毎回、他のサブパスの行を手動で揃えるコミットを追加する運用になっていた。 | PR | 対象 | 結末 | | :--- | :--- | :--- | | #108 | codeql-action サブパス単体 | クローズ | | #117 | codeql-action サブパス単体 | クローズ | | #132 | `autobuild` のみ | 手動で init/analyze を追従 → #134 に内包されクローズ | | #134 | `analyze` のみ | 手動で init/autobuild を追従 → マージ | ## 変更内容 ### 1. `groups` の追加（github-actions） ```yaml groups: codeql-action: patterns: - github/codeql-action* ``` `github/codeql-action*` にマッチする 4 つのサブパスが 1 本の PR にまとまり、バージョン不整合が原理的に発生しなくなる。手動追従コミットも不要になる。 ### 2. `cooldown` の追加（github-actions / docker 両方） ```yaml cooldown: default-days: 7 ``` リリース直後の不安定なバージョンを避ける。zizmor の `dependabot-cooldown` アラート（PR #130 のレビューで指摘）への対応。 ## 検証 | 項目 | 結果 | | :--- | :--- | | `yamllint .github/dependabot.yml` | ✅ 指摘なし | | YAML パース + キー構造の確認 | ✅ `groups.codeql-action.patterns` / 両エコシステムの `cooldown.default-days: 7` を確認 | | スキーマ準拠 | ✅ [Dependabot options reference](https://docs.github.com/en/code-security/dependabot/working-with-dependabot/dependabot-options-reference) の `groups` / `cooldown` 仕様に一致（`cooldown` の `include`/`exclude` は任意） | なお `.github/dependabot.yml` の実効性は Dependabot 側でしか検証できないため、マージ後に Insights > Dependency graph > Dependabot でパースエラーが出ていないことの確認を推奨する。 ## 補足（本PRの対象外） `genzouw/ci-workflows/.github/workflows/*.yml` も 6 本の再利用可能ワークフローとして個別に参照されており、バンプ時に PR が 6 本に分散する。ただしバージョン不整合による失敗は起きないため、今回はスコープ外とした。
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
2 participants
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Bumps actions/checkout from 7.0.0 to 7.0.1.
Release notes
Sourced from actions/checkout's releases.
Changelog
Sourced from actions/checkout's changelog.
... (truncated)
Commits
3d3c42eprep v7.0.1 release (#2531)2880268escape values passed to --unset (#2530)12cd223trim only ascii whitespace for branch (#2521)62661c4skip running unsafe pr check if input is default (#2518)e8d4307Bump the minor-actions-dependencies group with 2 updates (#2499)631c942eslint 9 (#2474)4f1f4aeBump actions/upload-artifact from 4 to 7 (#2476)ba09753Bump actions/checkout from 6 to 7 (#2488)b9e0990Bump docker/login-action from 3.3.0 to 4.2.0 (#2479)e8cb398Bump docker/build-push-action from 6.5.0 to 7.2.0 (#2478)Dependabot will resolve any conflicts with this PR as long as you don't alter it yourself. You can also trigger a rebase manually by commenting
@dependabot rebase.Dependabot commands and options
You can trigger Dependabot actions by commenting on this PR:
@dependabot rebasewill rebase this PR@dependabot recreatewill recreate this PR, overwriting any edits that have been made to it@dependabot show <dependency name> ignore conditionswill show all of the ignore conditions of the specified dependency@dependabot ignore this major versionwill close this PR and stop Dependabot creating any more for this major version (unless you reopen the PR or upgrade to it yourself)@dependabot ignore this minor versionwill close this PR and stop Dependabot creating any more for this minor version (unless you reopen the PR or upgrade to it yourself)@dependabot ignore this dependencywill close this PR and stop Dependabot creating any more for this dependency (unless you reopen the PR or upgrade to it yourself)