【検証用・マージしない】セキュリティチェックの検知能力テスト

[kaitoyama]

#2 で導入したチェックがちゃんと赤くなるかの実証用ドラフト PR です。わざと4種類の違反を含めています。確認後クローズします。

仕込んだ違反	期待される検知
docker-compose.yml: mariadb の digest を除去	pin-check が fail、pin-support が digest 付与の suggestion を出す
ci.yml: pnpm/action-setup@v4（タグ参照に戻す）	pin-check が fail、pin-support が SHA 固定の suggestion を出す
ci.yml: docker/login-action v4.5.1（2026-07-24 公開・1日未満） を追加（if: false なので実行はされない）	cooldown-check が「公開から日が浅い」として fail
tools/cooldown-demo/package.json: renovate@43.280.2（2026-07-24 公開・1日未満） を厳密指定（pnpm workspace 外なので install はされない）	cooldown-check が npm 側でも fail（しきい値7日）

既存の CI ジョブ自体は影響を受けずグリーンのままになる想定です（違反はすべて静的参照のみ）。

🤖 Generated with Claude Code

[coderabbitai]

Important

Review skipped

Draft detected.

Please check the settings in the CodeRabbit UI or the .coderabbit.yaml file in this repository. To trigger a single review, invoke the @coderabbitai review command.

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: 6313429d-f1df-4951-a0b1-a5e952b51da5

You can disable this status message by setting the reviews.review_status to false in the CodeRabbit configuration file.

Use the checkbox below for a quick retry:

• 🔍 Trigger review

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch pin-detection-test

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[github-actions]

[pin-support] _{reported by reviewdog 🐶}

Suggested change

	- uses: pnpm/action-setup@v4
	- uses: pnpm/action-setup@b906affcce14559ad1aafd4ab0e942779e9f58b1 # v4.3.0

[github-actions]

[pin-support] _{reported by reviewdog 🐶}

Suggested change

	image: mariadb:11
	image: mariadb:11@sha256:efb4959ef2c835cd735dbc388eb9ad6aab0c78dd64febcd51bc17481111890c4

[github-actions]

❄️ cooldown-check: 公開から日が浅いバージョンが 2 件見つかりました

種別	パッケージ	バージョン	公開日時	経過	しきい値	ファイル
actions	docker/login-action	v4.5.1	2026-07-24	0.1日	3日	.github/workflows/ci.yml
npm	renovate	43.280.2	2026-07-24	0.0日	7日	tools/cooldown-demo/package.json

公開直後のバージョンはサプライチェーン攻撃の検知が間に合っていない可能性があります。
しきい値の日数が経過してから再実行するか、緊急の場合は PR に override ラベルを付けてください。

⚠️ 確認できなかったもの（fail にはしません）

• .github/workflows/ci.yml: pnpm/action-setup のリリース v4 の公開日時が取得できません（リリース未作成の可能性）