security: サプライチェーンハードニング対応（提案・自動生成）

[kaitoyama]

Important

これは自動生成された「対応提案」PR です。
CI／サプライチェーンのハードニングを進めやすくするために機械的に変更を加えています。
変更内容が正しいか・CI が通るかは必ずメンテナご自身でご確認ください。 誤検出や、このリポジトリの文脈では不要な変更が含まれている可能性があります。不要なものは部分的に revert／close いただいて構いません。

traPtitech org 全体のセキュリティ監査に基づく提案です。

適用した変更

✅ GitHub Actions を commit SHA で固定（26 箇所）

タグ／ブランチ参照は可変で付け替えられ得るため、不変な commit SHA に固定しました（pinact を使用）。# vX コメントを残しているので Dependabot / Renovate は引き続き自動更新できます。

✅ Docker ベースイメージを digest 固定（4 箇所）

信頼できる発行元（Docker 公式 / distroless / ghcr.io/traPtitech 等）の可変タグに @sha256:... を付与しました。

• golang:1.25.3-alpine（Dockerfile）
• alpine:3（Dockerfile）
• mariadb:10.6.4（compose.yaml）
• adminer:standalone（compose.yaml）

確認のお願い

• CI が通ることを確認した

参考

• SHA pinning: pinact ／ Dependabot（github-actions）・Renovate（helpers:pinGitHubActionDigests）でも自動更新できます
• Docker Hardened Images

---

🤖 この PR は traPtitech org セキュリティ監査の一環として自動生成されました。

[coderabbitai]

Important

Review skipped

Draft detected.

Please check the settings in the CodeRabbit UI or the .coderabbit.yaml file in this repository. To trigger a single review, invoke the @coderabbitai review command.

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro

Run ID: 110da156-0433-47ac-b9cc-57d7ee7f1e20

You can disable this status message by setting the reviews.review_status to false in the CodeRabbit configuration file.

Use the checkbox below for a quick retry:

• 🔍 Trigger review

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch security/supply-chain-hardening

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands and usage tips.}

[codecov]

Codecov Report

✅ All modified and coverable lines are covered by tests.
✅ Project coverage is 72.66%. Comparing base (e5a3f39) to head (90561d2).

Additional details and impacted files

@@            Coverage Diff             @@
##             main     #782      +/-   ##
==========================================
+ Coverage   72.42%   72.66%   +0.23%     
==========================================
  Files          43       43              
  Lines        3881     3881              
==========================================
+ Hits         2811     2820       +9     
+ Misses        908      900       -8     
+ Partials      162      161       -1     

Flag	Coverage Δ
integration	72.66% <ø> (+0.23%)	⬆️
unit	72.66% <ø> (+0.23%)	⬆️

Flags with carried forward coverage won't be shown. Click here to find out more.

☔ View full report in Codecov by Sentry.
📢 Have feedback on the report? Share it here.

🚀 New features to boost your workflow:

• ❄️ Test Analytics: Detect flaky tests, report on failures, and find test suite problems.