#pullrequest

最初に思ったのは、「ここまでやるのか」という驚きだった。PR を作るだけでも面倒なのに、CI が落ちたら直し、レビューコメントまで拾って反映し、最後は merge まで進める。人間が普段やっている“地味で切れ目のない作業”を、そのままひとつの流れとして差し出してくるのが面白い。単なるコード生成ツールというより、開発の進行役を置こうとしている感じがある。 ただ、読んでいて一番引っかかったのは、便利さそのものより「どこまで任せてよいのか」が曖昧なところだった。失敗したテストを直すのはまだわかる。でもレビューコメントに応じてコードを変え、承認がついたら自動で merge するとなると、誰が最後の責任を持つのかが急に重くなる。人間が見なくても進むほど、うまくいったときは気持ちいいけれど、何かおかしいときに気づくのは遅れそうだと思う。 一方で、状態をディスクに保存して途中から再開できるとか、REST API や webhook で外からつなげられるとかは、かなり実務向きだと感じた。こういうツールは派手なデモで終わりがちだけど、止まったあとに再開できるか、他のシステムとつながるかで使い勝手が全然違

Claude Code が、コミットメッセージや Pull Request の説明文の末尾に session URL を自動で入れている。これに対して、GitHub の issue では「最初から有効にするのではなく、使う側が明示的に選ぶ opt-in にすべきだ」という要望が出された。見た目の問題だけでなく、開発履歴に知らないリンクが残ることへの違和感が強く、AI 補助ツールの“署名”をどこまで自動で入れるべきか、という話にもつながるので取り上げる価値がある。 問題提起をしたのは GitHub 上の `anthropics/claude-code` リポジトリに立てられた feature request だ。タイトルは「Session URL appended to commit messages and PR descriptions by default — should be opt-in」で、Claude Code が生成したコミットメッセージと PR description の末尾に、毎回 session URL が自動付与される仕様をやめてほしい、という内容になっている。

GitHubが、`actions/checkout` の最新版で、よくある「pwn request」攻撃パターンをブロックするようにしました。 ざっくり言うと、権限の強いワークフローの中で、信用できないforkのPull Requestコードをうっかり実行してしまう事故を減らすための変更です。 これ、地味に見えてかなり大事です。CI/CDやGitHub Actionsを触っている人なら「まあ注意していれば大丈夫でしょ」と思いがちですが、攻撃者はその“うっかり”を狙ってきます。しかも `pull_request_target` は、仕組みを理解していないと本当に危ない。 `actions/checkout` v7 が、fork由来の危険なPull Requestのチェックアウトをデフォルトで拒否 対象は主に `pull_request_target` と、条件付きで `workflow_run` GitHubは「pwn request」の典型パターンを減らしたい考え 必要なら `allow-unsafe-pr-checkout: true` で回避もできる ただし、これでActi