Backport workflow-hardening fix (unpinned-uses) to 5 release branches

オープン

#6,941 2026年6月29日に作成コメント 1 件リアクション 0 件担当者 0 名 GitHub で見る

メンテナーはふだん 2 日以内に返信

@oindrilakha12-ui がすでに取り組んでいます。

2026年7月5日から。

評価

難易度: 3/5
見積もり時間: 1〜2日
初心者へのやさしさ: 62/100

issue の種類: バグ
明瞭さ: 明確に書かれている
活発さ: 静か
技術スタック: github-actions, yaml
領域: ci-cd, devops, security

調査の方向性

Start with .github/workflows/build_tool.yaml on each of the five listed release branches and compare it with the default-branch fix at commit 4e74757d99a34378f1c6141ff8ff56f7f0ab4c12. Apply the documented action pinning changes, then run zizmor and actionlint for each branch. Done means the unpinned-uses findings are cleared without new findings.

索引モデルが issue の本文から書いたものです。

説明

Summary

The default branch already hardened .github/workflows/build_tool.yaml against the issue(s) below, but 5 release branches still carry it. This proposes the same, minimal, scanner-verified fix for each.

What's flagged (by zizmor)

unpinned-uses — actions referenced by mutable tag/branch instead of a pinned commit SHA

Already resolved on the default branch in:

https://github.com/pipe-cd/pipecd/commit/4e74757d99a34378f1c6141ff8ff56f7f0ab4c12

Affected release branches (5)

release-v0.48.x (still present as of HEAD 2f57e0ab)
release-v0.50.x (still present as of HEAD ef960273)
release-v0.49.x (still present as of HEAD af2d2270)
release-v0.47.x (still present as of HEAD ee2011f6)
release-v0.46.x (still present as of HEAD e57ade14)

Suggested per-branch patches

Each diff below was checked locally with zizmor and actionlint: the flagged finding(s) are cleared on the affected construct and no new lint or security findings are introduced. (Whitespace is normalized; only security-relevant lines change.)

release-v0.48.x — unpinned-uses

File .github/workflows/build_tool.yaml; suggested edits:

- jobs.$J.steps[uses=docker/setup-buildx-action].uses = 'docker/setup-buildx-action@c47758b77c9736f4b2ef4073d4d51994fabfe349'
- jobs.$J.steps[uses=docker/setup-qemu-action].uses = 'docker/setup-qemu-action@49b3bc8e6bdd4a60e6116a5414239cba5943d3cf'
~ jobs.$J.steps[uses=actions/checkout].uses : pin(actions/checkout -> target_ref SHA)
~ jobs.$J.steps[uses=docker/build-push-action].uses : pin(docker/build-push-action -> target_ref SHA)

--- a/.github/workflows/build_tool.yaml
+++ b/.github/workflows/build_tool.yaml
@@ -24,7 +24,7 @@
           - piped-base-okd
           - firestore-emulator
     steps:
-      - uses: actions/checkout@v3
+      - uses: actions/checkout@f43a0e5ff2bd294095638e18286ca9a3d1956744  # v3
         with:
           fetch-depth: 0
       - name: Determine version

release-v0.50.x — unpinned-uses

File .github/workflows/build_tool.yaml; suggested edits:

- jobs.$J.steps[uses=docker/setup-buildx-action].uses = 'docker/setup-buildx-action@c47758b77c9736f4b2ef4073d4d51994fabfe349'
- jobs.$J.steps[uses=docker/setup-qemu-action].uses = 'docker/setup-qemu-action@49b3bc8e6bdd4a60e6116a5414239cba5943d3cf'
~ jobs.$J.steps[uses=actions/checkout].uses : pin(actions/checkout -> target_ref SHA)
~ jobs.$J.steps[uses=docker/build-push-action].uses : pin(docker/build-push-action -> target_ref SHA)

--- a/.github/workflows/build_tool.yaml
+++ b/.github/workflows/build_tool.yaml
@@ -24,7 +24,7 @@
           - piped-base-okd
           - firestore-emulator
     steps:
-      - uses: actions/checkout@v3
+      - uses: actions/checkout@f43a0e5ff2bd294095638e18286ca9a3d1956744  # v3
         with:
           fetch-depth: 0
       - name: Determine version

release-v0.49.x — unpinned-uses

File .github/workflows/build_tool.yaml; suggested edits:

- jobs.$J.steps[uses=docker/setup-buildx-action].uses = 'docker/setup-buildx-action@c47758b77c9736f4b2ef4073d4d51994fabfe349'
- jobs.$J.steps[uses=docker/setup-qemu-action].uses = 'docker/setup-qemu-action@49b3bc8e6bdd4a60e6116a5414239cba5943d3cf'
~ jobs.$J.steps[uses=actions/checkout].uses : pin(actions/checkout -> target_ref SHA)
~ jobs.$J.steps[uses=docker/build-push-action].uses : pin(docker/build-push-action -> target_ref SHA)

--- a/.github/workflows/build_tool.yaml
+++ b/.github/workflows/build_tool.yaml
@@ -24,7 +24,7 @@
           - piped-base-okd
           - firestore-emulator
     steps:
-      - uses: actions/checkout@v3
+      - uses: actions/checkout@f43a0e5ff2bd294095638e18286ca9a3d1956744  # v3
         with:
           fetch-depth: 0
       - name: Determine version

release-v0.47.x — unpinned-uses

File .github/workflows/build_tool.yaml; suggested edits:

- jobs.$J.steps[uses=docker/setup-buildx-action].uses = 'docker/setup-buildx-action@c47758b77c9736f4b2ef4073d4d51994fabfe349'
- jobs.$J.steps[uses=docker/setup-qemu-action].uses = 'docker/setup-qemu-action@49b3bc8e6bdd4a60e6116a5414239cba5943d3cf'
~ jobs.$J.steps[uses=actions/checkout].uses : pin(actions/checkout -> target_ref SHA)
~ jobs.$J.steps[uses=docker/build-push-action].uses : pin(docker/build-push-action -> target_ref SHA)

--- a/.github/workflows/build_tool.yaml
+++ b/.github/workflows/build_tool.yaml
@@ -23,7 +23,7 @@
           - piped-base-okd
           - firestore-emulator
     steps:
-      - uses: actions/checkout@v3
+      - uses: actions/checkout@f43a0e5ff2bd294095638e18286ca9a3d1956744  # v3
         with:
           fetch-depth: 0
       - name: Determine version

release-v0.46.x — unpinned-uses

File .github/workflows/build_tool.yaml; suggested edits:

- jobs.$J.steps[uses=docker/setup-buildx-action].uses = 'docker/setup-buildx-action@c47758b77c9736f4b2ef4073d4d51994fabfe349'
- jobs.$J.steps[uses=docker/setup-qemu-action].uses = 'docker/setup-qemu-action@49b3bc8e6bdd4a60e6116a5414239cba5943d3cf'
~ jobs.$J.steps[uses=actions/checkout].uses : pin(actions/checkout -> target_ref SHA)
~ jobs.$J.steps[uses=docker/build-push-action].uses : pin(docker/build-push-action -> target_ref SHA)

--- a/.github/workflows/build_tool.yaml
+++ b/.github/workflows/build_tool.yaml
@@ -23,7 +23,7 @@
           - piped-base-okd
           - firestore-emulator
     steps:
-      - uses: actions/checkout@v3
+      - uses: actions/checkout@f43a0e5ff2bd294095638e18286ca9a3d1956744  # v3
         with:
           fetch-depth: 0
       - name: Determine version

Happy to open pull requests instead if that's preferred.

主要言語: Go
スター: 1.4k
フォーク: 391
平均マージ: 4日 1時間
マージ済み PR（30日）: 58

環境構築

Dockerfile・Docker Compose ファイルなし
プルリクエストのテンプレートあり
コントリビューションガイドを読む

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

pipe-cd/pipecd のほかの issue

Applications at the repository root are not triggered by new commits
対応中かも @Daksha1611 が今日担当しました。オープン
- 何か問題がありますか？
難易度 2/5 1〜3時間初心者へのやさしさ 62/100

pipe-cd/pipecd#7639 · 2026年11月14日に作成

メンテナーはふだん 2 日以内に返信
pipedv1 kubernetes plugins ignore trafficRouting.istio.host in K8S_TRAFFIC_ROUTING
対応中かも @Dhirenderchoudhary が今日担当しました。オープン
- 何か問題がありますか？
難易度 2/5 半日初心者へのやさしさ 74/100

pipe-cd/pipecd#7626 · コメント 1 件 · 2026年11月13日に作成

メンテナーはふだん 2 日以内に返信
Datadog analysis logs read millisecond timestamps as seconds
オープン
- 何か問題がありますか？
難易度 2/5 1〜3時間初心者へのやさしさ 72/100

pipe-cd/pipecd#7625 · 2026年11月13日に作成

メンテナーはふだん 2 日以内に返信
pipectl transfer restore application drops backed-up labels
対応中かも @bhavishyajain545 が 1 日前に担当しました。オープン
- 何か問題がありますか？
難易度 2/5 1〜3時間初心者へのやさしさ 86/100

pipe-cd/pipecd#7622 · コメント 1 件 · 2026年11月12日に作成

メンテナーはふだん 2 日以内に返信
ECS plan preview misses changes to cluster in servicedef.yaml
オープン
- 何か問題がありますか？
難易度 2/5 1〜3時間初心者へのやさしさ 83/100

pipe-cd/pipecd#7621 · 2026年11月12日に作成

メンテナーはふだん 2 日以内に返信

pipe-cd/pipecd の issue をすべて見る

似ている issue

A bare $options filter operator matches every document instead of failing
オープン
- 何か問題がありますか？
難易度 2/5 1〜3時間初心者へのやさしさ 68/100

dolthub/dumbodb#303 · 2026年11月15日に作成

メンテナーはふだん 1 日以内に返信
docker-compose: postgres healthcheck should probe TCP (pg_isready -h localhost)
対応中かも @zezo-mohamed22 が今日担当しました。オープン
- 何か問題がありますか？
難易度 1/5 1時間未満初心者へのやさしさ 82/100

OneBusAway/watchdog#305 · コメント 1 件 · 2026年11月14日に作成

メンテナーはふだん 1 日以内に返信
[self-care:agent-discoverability] Fix stale MCP wording and missing CAO skill routes for agent discovery
オープン
- 何か問題がありますか？
self-care self-care:agent-discoverability

難易度 2/5 1〜3時間初心者へのやさしさ 62/100

githubnext/gh-cao#20928 · 2026年11月14日に作成

メンテナーはふだん 1 日以内に返信
[spec-coverage] Daily Spec Coverage Report — 43630643130
オープン
- 何か問題がありますか？
automation documentation

難易度 1/5 1時間未満初心者へのやさしさ 70/100

github/gh-aw#77838 · 2026年11月14日に作成

メンテナーはふだん 1 日以内に返信
stale comment above anthropicEnvCredentials after claw's login was retired
オープン
- 何か問題がありますか？
難易度 1/5 1時間未満初心者へのやさしさ 85/100

SocialGouv/iterion#3287 · 2026年11月14日に作成

メンテナーはふだん 1 日以内に返信

Go の issue をもっと見る

初心者向けの GitHub issue を短くまとめたダイジェスト。