Marketplaceのアクション活用

- name: Checkout code
  uses: actions/checkout@v4
  with:
    fetch-depth: 0          # 全履歴を取得（デフォルトは1=最新のみ）
    ref: ${{ github.head_ref }}  # PRのブランチをチェックアウト

- name: Setup Node.js
  uses: actions/setup-node@v4
  with:
    node-version: '20'
    cache: 'npm'           # npm キャッシュを自動管理
    registry-url: 'https://npm.pkg.github.com'  # プライベートレジストリ

- name: Cache node_modules
  uses: actions/cache@v4
  with:
    path: node_modules
    key: ${{ runner.os }}-node-${{ hashFiles('package-lock.json') }}
    restore-keys: |
      ${{ runner.os }}-node-

# アップロード
- name: Upload build
  uses: actions/upload-artifact@v4
  with:
    name: build-output
    path: dist/
    retention-days: 7

# ダウンロード（別のジョブで）
- name: Download build
  uses: actions/download-artifact@v4
  with:
    name: build-output
    path: dist/

- name: Comment on PR
  uses: actions/github-script@v7
  with:
    script: |
      github.rest.issues.createComment({
        issue_number: context.issue.number,
        owner: context.repo.owner,
        repo: context.repo.repo,
        body: 'CI passed! Ready for review.'
      })

- name: Setup Python
  uses: actions/setup-python@v5
  with:
    python-version: '3.12'
    cache: 'pip'

- name: Install dependencies
  run: pip install -r requirements.txt

# AWSクレデンシャルの設定
- name: Configure AWS Credentials
  uses: aws-actions/configure-aws-credentials@v4
  with:
    aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
    aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
    aws-region: ap-northeast-1

# ECR へのログイン
- name: Login to Amazon ECR
  uses: aws-actions/amazon-ecr-login@v2

# ECS へのデプロイ
- name: Deploy to ECS
  uses: aws-actions/amazon-ecs-deploy-task-definition@v2
  with:
    task-definition: task-definition.json
    service: my-service
    cluster: my-cluster

# Docker Hub へのログイン
- name: Login to Docker Hub
  uses: docker/login-action@v3
  with:
    username: ${{ secrets.DOCKER_USERNAME }}
    password: ${{ secrets.DOCKER_PASSWORD }}

# Docker イメージのビルド & プッシュ
- name: Build and push
  uses: docker/build-push-action@v6
  with:
    push: true
    tags: myapp:${{ github.sha }}
    cache-from: type=gha
    cache-to: type=gha,mode=max

# 良い: フルコミットSHAで固定（最も安全）
- uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11

# 許容: メジャーバージョンタグで固定
- uses: actions/checkout@v4

# 危険: ブランチ指定（内容が変わる可能性）
- uses: actions/checkout@main        # 避ける

# ワークフローレベルで最小権限を設定
permissions:
  contents: read        # リポジトリの読み取りのみ
  pull-requests: write  # PRへのコメント書き込み

# デフォルトを最小にして、ジョブごとに必要な権限を追加
permissions: {}         # 全て無効化

jobs:
  build:
    permissions:
      contents: read    # このジョブに必要な権限のみ
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

# .github/actions/setup-project/action.yml
name: 'Setup Project'
description: 'プロジェクトのセットアップを行う'

inputs:
  node-version:
    description: 'Node.js version'
    required: false
    default: '20'

runs:
  using: 'composite'
  steps:
    - name: Setup Node.js
      uses: actions/setup-node@v4
      with:
        node-version: ${{ inputs.node-version }}
        cache: 'npm'

    - name: Install dependencies
      shell: bash
      run: npm ci

    - name: Verify installation
      shell: bash
      run: npm --version && node --version

# ワークフローでの使用
steps:
  - uses: actions/checkout@v4
  - uses: ./.github/actions/setup-project
    with:
      node-version: '20'
  - run: npm test