GitHub Actions 入門【2026年版】CI/CDの基礎から実践的ワークフロー設定まで

# ワークフロー（.github/workflows/xxx.yml）
#  └─ イベント（トリガー：push / pull_request / scheduleなど）
#  └─ ジョブ（runs-on でOSを指定、デフォルトで並列実行）
#       └─ ステップ（コマンド実行 or 既存アクションの利用）

name: Node.js CI

# トリガー設定
on:
  push:
    branches: [ main, develop ]
  pull_request:
    branches: [ main ]

jobs:
  test:
    runs-on: ubuntu-latest

    # マトリックス：複数バージョンで並列テスト
    strategy:
      matrix:
        node-version: [18.x, 20.x, 22.x]

    steps:
      # コードのチェックアウト（ほぼ必須）
      - name: Checkout
        uses: actions/checkout@v4

      # Node.jsセットアップ（依存関係をキャッシュ）
      - name: Setup Node.js ${{ matrix.node-version }}
        uses: actions/setup-node@v4
        with:
          node-version: ${{ matrix.node-version }}
          cache: 'npm'   # npm ci が速くなる

      # npm install より npm ci が CI 環境では推奨
      - name: Install dependencies
        run: npm ci

      - name: Run tests
        run: npm test

      - name: Build (if script exists)
        run: npm run build --if-present

# ❌ 間違い：jobs の下に直接コマンドが来ている
jobs:
build:          # インデント不足
  runs-on: ubuntu-latest

# ✅ 正しい：jobs → ジョブ名 → キー の階層
jobs:
  build:         # 2スペースインデント
    runs-on: ubuntu-latest   # 4スペースインデント

on:
  push:
    branches:
      - main
      - 'releases/**'     # releases/ プレフィックスの全ブランチ
    paths-ignore:       # これらのファイル変更では発火しない
      - '**.md'
      - '.gitignore'
  pull_request:
    types: [opened, synchronize, reopened]
  schedule:
    - cron: '0 2 * * 1'    # 毎週月曜 02:00 UTC（= 11:00 JST）
  workflow_dispatch:  # 手動実行も可能にする

- uses: actions/checkout@v4
  with:
    fetch-depth: 0    # 全履歴取得（git log -1 などを使う場合に必要）
    # fetch-depth: 1 がデフォルト（最新コミットのみ）

- uses: actions/setup-node@v4
  with:
    node-version: '20'
    cache: 'npm'         # 'yarn' や 'pnpm' も指定可

- uses: actions/setup-python@v5
  with:
    python-version: '3.12'
    cache: 'pip'

# ビルドしたファイルを別ジョブで使う・後からダウンロードする場合
- name: Upload build artifacts
  uses: actions/upload-artifact@v4
  with:
    name: build-output
    path: dist/
    retention-days: 7    # デフォルトは90日（無料プランで容量節約）

- name: Notify Slack on failure
  if: failure()            # 失敗時のみ実行
  uses: slackapi/slack-github-action@v1.27.0
  with:
    channel-id: ${{ secrets.SLACK_CHANNEL_ID }}
    slack-message: ":x: ビルド失敗 - ${{ github.repository }} / ${{ github.ref_name }}"
  env:
    SLACK_BOT_TOKEN: ${{ secrets.SLACK_BOT_TOKEN }}

env:
  APP_ENV: production     # ① ワークフロー全体で有効

jobs:
  deploy:
    env:
      DEPLOY_REGION: ap-northeast-1  # ② このジョブ内で有効
    steps:
      - name: Deploy
        env:
          API_KEY: ${{ secrets.PROD_API_KEY }}  # ③ このステップ内のみ
        run: ./scripts/deploy.sh

# ❌ ブランチ指定は危険（予告なく変更される可能性がある）
- uses: actions/checkout@main

# ⚠️  タグ指定は現実的だが、タグが移動するリスクは残る
- uses: actions/checkout@v4

# ✅ 最もセキュア：SHA固定（サプライチェーン攻撃対策）
- uses: actions/checkout@11bd71901bbe5b1630ceea73d27597364c9af683  # v4.2.2

# コミット・PRへのコメント・リリース作成などを行う場合に権限が必要
permissions:
  contents: write          # コードへの書き込み
  pull-requests: write    # PRへのコメント・ラベル変更
  issues: write           # Issueへの書き込み
  packages: write         # GitHub Packagesへの公開

# ⚠️ permissions を明示しない場合、リポジトリ設定によってはデフォルトで read-only になる
# Settings → Actions → General → Workflow permissions で確認

# フォークPRでシークレットが必要な場合の回避策
on:
  # pull_request_target はベースリポジトリのコンテキストで実行される
  # ⚠️ ただしコードインジェクション攻撃のリスクがあるため、慎重に使うこと
  pull_request_target:
    types: [opened, synchronize]

- name: Debug - print context
  run: |
    echo "=== GitHub Context ==="
    echo "Event: ${{ github.event_name }}"
    echo "Branch: ${{ github.ref_name }}"
    echo "SHA: ${{ github.sha }}"
    echo "Actor: ${{ github.actor }}"
    echo "=== Runner Context ==="
    echo "OS: ${{ runner.os }}"
    echo "Temp: ${{ runner.temp }}"
    echo "=== Environment ==="
    env  # 全環境変数を出力（シークレットはマスクされる）

on:
  workflow_dispatch:
    inputs:
      debug_mode:
        description: 'デバッグモードを有効化しますか？'
        type: boolean
        default: false
      environment:
        description: 'デプロイ先の環境'
        type: choice
        options:
          - staging
          - production
        required: true