マネーフォワードのGitHub不正アクセス事件をエンジニア視点で読み解く — なぜソースコードに本番カード情報と認証キーが入っていたのか
はじめに 2026 年 5 月 1 日、マネーフォワードが「GitHub への不正アクセス発生に関するお知らせとお詫び（第一報）」を公表しました。GitHub の認証情報が漏えいし、第三者によりリポジトリがコピーされ、ソースコードと一部の個人情報が流出した可能性があるという内容です。同時に、銀行口座連携機能を一時停止する措置もとられました。 この事案は、エンジニア視点で見ると「仕方ない部分」と「明らかにアウトな部分」がはっきり分かれる、教科書のような事例になっています。GitHub 認証情報の漏えい自体は、正直に言ってどの会社でも起こり得ます。一方で、流出したとされる中身に 本番カード保持者の氏名と下 4 桁が 370 件、そして ソースコード内に各種認証キー・パスワード が含まれていたという点は、設計と運用の問題として議論せざるを得ません。 この記事ではセキュリティエンジニアの立場から、
GitHub Actions 互換のローカルタスクランナーを作った
TL;DR - ローカル実行できる GitHub Actions Runner GitHub Actions のワークフローをローカルで実行するツール actrun を作りました。 MoonBit で書いてクロスコンパイルしてるので、 npx, native, docker いずれでも使えます。 # npx（インストール不要） npx @mizchi/actrun .github/workflows/ci.yml # curl curl -fsSL https://raw.githubusercontent.com/mizchi/actrun/main/install.sh | sh # npm npm install -g @mizchi/actrun # Docker docker run --rm -v "$PWD":/workspace -w /workspace ghcr.io/
AI時代のDependabot対応。手動からDevin、そしてClaude Code Actionへ - Findy Tech Blog
こんにちは、Findy Freelanceでフロントエンドエンジニアをしている主計（かずえ）です。 この記事は、ファインディエンジニア #3 Advent Calendar 2025の25日目の記事です。 adventar.org Dependabotが作成するPRの対応、皆さんはどのように運用していますか？依存パッケージの更新は地味ながら継続的に発生する作業で、特に少人数チームでは対応工数の比率が無視できません。 この記事では、私たちのチームがDependabot PR対応を手動運用からDevin、そしてClaude Code Actionへと段階的に改善してきた過程を紹介します。それぞれのアプローチで得られた知見と、最終的にClaude Code Actionに落ち着いた理由をお伝えします。 Dependabot PRの対応フローを効率化したい方、AIツールを活用したコードレビューの自
Claude CodeとGitHub Issueを使った全自動開発について
Claude CodeとGitHub Issueを使った全自動開発について注意事項 #現在多数の方に閲覧されていますが、こちらの記事はまだ試験段階であり、改善の余地はたくさんあると考えています。 使用する際は十分ご注意ください。 このコードを使用したことで発生する不利益については、筆者は一切責任を負いません。 ご了承ください。 準備 #wikiは使用しないdocsディレクトリで管理するREADME.mdにプロジェクト概要を書くGitHub Issueのtemplateを作成する.github/ISSUE_TEMPLATE/配下先にIssueを作成しておくdocs/db-schema.md から docs/er.md を作成ログイン画面作成User一覧作成などなどghコマンドをインストールする出先からの実行専用スクリプト #Priority & issue番号で並び替えして最初のissueを
GitHub - bahdotsh/wrkflw: Validate and Run GitHub Actions locally.
TUI interface — interactive terminal UI for browsing, running, and monitoring workflows Workflow validation — syntax checks, structural validation, and composite action input cross-checking with CI/CD-friendly exit codes Local execution — run workflows using Docker, Podman, or emulation mode (no containers) Job selection — run individual jobs with --job flag or via TUI job selection mode Job depen
GitHub Copilot コードレビュー機能でプルリクエストを日本語でレビューしてもらいたい
はじめに GitHub Copilotは、AIを活用したコード補完ツールとして多くの開発者に利用されています。最近では、コードレビュー機能も追加され、プルリクエストのレビューを自動化することが可能になりました。 レスキューナウでも最近利用できるようになったので活用しています！ しかし、デフォルトでは英語でのレビューとなっており、日本語でレビューしてもらいたい場合にはちょっとした設定が必要だったので試した内容をメモしておきます 📝 GitHub Copilotのコードレビュー機能とは GitHub Copilotのコードレビュー機能は、プルリクエストに対してAIが自動的にレビューを行い、フィードバックを提供するものです。これにより、コードの品質向上やレビュー作業の効率化が期待できます。 日本語でレビューを受けるための設定方法 実際に確実に指摘が入りそうなコードを用意して試してみます。 やり
GitHub のセキュリティ改善
先日 tj-actions/changed-files などの人気の GitHub Actions のセキュリティインシデントがありました (CVE-2025-30066)。 自分は OSS の開発者として様々な OSS を公開しており、こういったセキュリティインシデントは他人事ではありません。 そこでこの 1 ヶ月弱セキュリティ周りを見直し、かなり改善することが出来ました。 本記事では GitHub のセキュリティを改善する方法について紹介します。 主なターゲットしては自分のような OSS の開発者ですが、 GitHub を使っている方全てに参考になる内容かなと思います。 皆さんが本記事を参考にセキュリティを改善し、セキュリティインシデントを未然に防ぐことが出来れば幸いです。 先日登壇した GitHub Actions 関連の資料 先日 2025-03-11 に GitHub Actio
GitHub Actions を静的検査するツールの紹介 (actionlint/ghalint/zizmor)
先日、 tj-actions/changed-files や reviewdog/action-* などのアクションの Git タグが書き換えられるという出来事がありました。 これにより、これらのアクションを Git タグで参照している GitHub Actions Workflow 内で悪意のあるコードが実行されてしまうという事態が発生しました。 このような事態を防ぐためには、アクションの参照には Git タグではなくコミットハッシュを使用するなどの対策が必要です。 # ❌ Git タグは書き換えられる可能性がある - uses: actions/checkout@v4 - uses: actions/checkout@v4.2.2 # ⭕ コミットハッシュを指定しておけば Git タグが書き換えられても影響を受けない - uses: actions/checkout@11bd71901
OpenHands GitHub Issue Resolverを使って（ほぼ）無料でAIエンジニアに開発を依頼できる環境を作ってみる
※ この記事は2025/3/15現在の情報に基づいています。生成AIの進化は非常に早いため、最新情報は各公式ページをご確認ください。 はじめに AIエンジニアを活用した開発が注目されていますね。 AIエンジニアといえば、Devinが有名ですが、利用するためには月額約500ドルからのプランしかなく、コスト面でのハードルがあり、気軽に試すのは難しい状況でした。 そこで、オープンソースの自動開発AIエージェントとして開発されているOpenHandsに注目。 OpenHandsは基本的にはセルフホストが必要ですが、GitHub & Gitlab Issue Resolver機能というものがあり、これを設定すると、GitHub Workflowの中でOpenHandsのエージェントが実行されるため、セルフホスト不要で環境を構築することが可能です。 また、GitHub WorkflowはPublicリ
GitHub Copilotがプルリクを勝手にレビューしてくれる設定を広めたい
はじめに 最近GitHubでプルリクのレビューアーにCopilotくんをアサインすると、AIがレビューしてくれるようになりました。 アサインしてしばらく待つとレビューを付けてくれます。 今回はCopilotくんの指摘はなかったようです。 さて、この機能は非常に便利なのですが、毎回アサインするの面倒くさいですしプルリクを出す人によってはアサインしなかったり忘れたりするのはイマイチなので、勝手にアサインして毎回レビューしてもらう設定にしちゃいましょう。という記事です。 GitHub Copilotは定額なのでなるべく使いまくったほうが得ですよね！ 結論を簡単に書くと ルールセットで [Request pull request review from Copilot]を有効化 すればOK これで完全に理解した方は以降は読まなくてもよいかと思います。 まずはCopilotくんにレビューしてもらおう
GitHub Actionsを可視化するGitHub Actions OpenTelemetryの紹介 - ともにかける
GitHub Actionsはワークフロー全体の実行時間や各ステップの詳細な可視化、変更による効果測定を行うには工夫が必要となります。この記事では、OpenTelemetryを活用してGitHub Actionsの実行結果をトレースとメトリクスの形で収集するGitHub Actions OpenTelemetryを紹介します。どのステップに時間がかかっているのか、改善施策の効果がどの程度あったのかを把握しやすくなるため、ワークフローの継続的な改善を目指す方に役立ちます。 Trace Sample (Jaeger) 1. GitHub Actionsにおける課題 1-1. ワークフローの詳細を可視化する方法が提供されていない 1-2. ワークフローの変更による影響を分析しづらい 2. GitHub Actions OpenTelemetryとは 2-1. 概要と主な機能 2-2. OpenT
GitHub Actions のワナ仕様
はじめに GitHub Actions (GHA)、便利ですよね。 便利なんですが、たまに「え、そんな仕様だっけ？」みたいなワナに遭遇します。そして毎回忘れてワナにハマってしまいます。 今後そんなワナにハマって時間を無駄にしないよう、ワナ仕様について網羅していきます。 対象読者 GitHub Actions を使い倒したい方 割と大きめな規模の GitHub Actions を構成している方 初級編 run を複数行で書くときの記法 GHA というか YAML の記法です。いきなり GHA から外れてすみません 💦 が、よく忘れるので覚えておくと助かります。以下の 2 種類を覚えておけば、ほとんどの場合事足りると思います。 | は改行を改行として実行する
Zennの記事をGitHub連携でカッチリ管理するおすすめ設定
はじめに はじめまして、jonghyoと申します! ZennのGitHub連携機能とっても便利ですよね! 記事を書くにあたって、GitHubリポジトリの設定を色々やったのでおすすめ設定を共有します。 記載内容などをカッチリ管理したい方必見です👀 内容の詳細は以下リポジトリをご覧ください。 こんな人におすすめ! 記事の内容や品質を楽に・カッチリチェックしたい! コミットメッセージもしっかり書いて、かっこいいリポジトリにしたい! Zennの記事をきれいに管理したい! これからZennとGitHubの連携設定を行なう方 TL;DR GitHubリポジトリのAutomatically delete head branches Loading, Dependabot有効化 textlint, markdownlint-cli2, commitlint, secretlint, lefthookの導
CI/CD革新 GitHub Script活用術 - enechain Tech Blog
はじめに GitHub Script概要 セットアップ context の中身 eSquare Liveでの活用事例 発生した問題 タグの打ち間違い releaseブランチが複数存在する場合のデプロイ先選択の複雑化 解決策としてのGitHub Scriptの活用 機能1 vX.Y.Zのタグがmainブランチのコミットハッシュと一致することを確認する 機能2 releaseブランチは最新バージョンのみ自動で検証環境にデプロイする 完成版スクリプト まとめ はじめに こんにちは、enechainでeSquare Liveを開発しているエンジニアの古瀬(@tsuperis3112)です！ 今回は、マニュアル依存になりがちなデプロイフローの問題を actions/github-script で解消した方法についてお話します。 eSquare Liveの開発では、効率的かつ信頼性の高い開発フローを維
tfactionを導入してみた
tfactionとは 高度なTerraformのCI/CDをGitHub Actionsで簡単に実現できるActionです。 TerraformのCI/CDを組むにあたって欲しい機能が多く搭載されており、OSSのActionを会社のセキュリティポリシーで使えないとかがない限り、個人的にはこれを使用しないという選択肢がない位、非常におすすめなActionです。 詳しくは、開発者であるShunsuke Suzuki氏のブログを参照下さい。 導入目標 以下機能を使えること Support Monorepo with GitHub Actions build matrix ワークフロー設定ファイルを各ルートモジュール共通で管理しつつ、変更があったルートモジュールのみCI/CDを実行できる機能 tfactionを使用せず、ワークフローの発火条件でパスフィルターを設定する方法もあるが、各ルートモジュー
GitHub CopilotでTypeScriptの コード生成するワザップ
バイブコーディング超えてバイブデプロイ〜CloudflareMCPで実現する、未来のアプリケーションデリバリー〜
GitHub の Sub-issues はいいぞ - STORES Product Blog
GitHub の Sub-issues はいいぞ はじめに こんにちは！ STORES でソフトウェアエンジニアをしている @m0nch1 です。 今回は GitHub issues に新しく追加された Preview 機能の１つである Sub-issues について紹介しようと思います。 Sub-issues は GitHub Projects と組み合わせることでより便利に機能するものになっており、GitHub Projects での活用例についても紹介しようと思います。 ちなみに STORES ではバックログの管理に GitHub Projects を活用しているチームが多く、日々活用しながら開発を進めています。 product.st.inc Sub-issues 改めて今回紹介したい Sub-issues について簡単に紹介します。 Sub-issues はこのブログ執筆時点ではま
OSSのタスク管理あれこれ
@sanposhiho といいます。Kubernetesを中心に複数のOSSをメンテしています。 この記事ではたまに聞かれるOSS周りのタスク管理方法をまとめます。 タスク管理手法 Kubernetesにはフルタイムのコントリビューターも僕のような趣味コントリビューターもどちらも多く、平日土日に関わらず開発が活発に行われています。この状態だと、ちょっとissueやPRをレビュー/Watchしたりするだけで、ほぼ毎日メールが来るような状態に陥ります。 特に、僕はKubernetes SchedulerのエリアでApprover(= PRを最終承認できる人)の権限を持っている関係で、平日だとそこらじゅうから毎日メンションが飛んできます。この状態だと、数日サボった後に戻ってくるだけでメールが数十件溜まっていることはザラです。 昔は特に何も考えずGmailを眺めて、「あ〜これまだ返信してなかったっ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - github/awesome-copilot: Community-contributed instructions, prompts, and configurations to help you make the most of GitHub Copilot.
GitHub Chat MCP
