#githubactions

GitHubが、`actions/checkout` の最新版で、よくある「pwn request」攻撃パターンをブロックするようにしました。 ざっくり言うと、権限の強いワークフローの中で、信用できないforkのPull Requestコードをうっかり実行してしまう事故を減らすための変更です。 これ、地味に見えてかなり大事です。CI/CDやGitHub Actionsを触っている人なら「まあ注意していれば大丈夫でしょ」と思いがちですが、攻撃者はその“うっかり”を狙ってきます。しかも `pull_request_target` は、仕組みを理解していないと本当に危ない。 `actions/checkout` v7 が、fork由来の危険なPull Requestのチェックアウトをデフォルトで拒否 対象は主に `pull_request_target` と、条件付きで `workflow_run` GitHubは「pwn request」の典型パターンを減らしたい考え 必要なら `allow-unsafe-pr-checkout: true` で回避もできる ただし、これでActi

手作業でやっていた「ニュースソース追加」を、月1回の自動処理に置き換えた まず Firecrawl でランキングページをきれいな Markdown に変換する OpenRouter の無料で使える複数の LLM を順番に試し、ニュースサイトのURLを抽出する さらに web_search ツールでURLの妥当性を確認し、壊れたURLや誤検出を減らす 生成した YAML を重複チェックしたうえで保存し、GitHub Actions が PR を自動作成する マージ後は既存の CI が検証・反映まで行い、ライブダッシュボードにすぐ表示される この記事は、`Source Score` というマイクロサービスの開発を続けている筆者が、「ニュースソースの追加」を自動化した記録です。 最初は、ソースはたった5件を手で追加して動作確認していたそうです。まあ、最初の一歩としてはすごく自然です。システムを作るとき、最初から完璧に自動化しようとすると逆に進まないので、まずは人力で土台を作るのはよくあるやり方です。 でも問題は、その先です。 世界中の主要ニュースサイトを定期的に取り込みたいのに、毎回手作業で