[mugi-uno]

概要

GitHub Actions を、公開から 14 日以上経過した最新版に更新しました（.npmrc の min-release-age=14 と同じ基準）。参照形式は既存どおり SHA 固定＋バージョンコメントです。

Action	変更前	変更後	新 SHA
actions/checkout	v6.0.3	v7.0.1	3d3c42e5aac5ba805825da76410c181273ba90b1
actions/setup-node	v7.0.0	v7.1.0	949feb2413d6458794dcd2491c4babbbce0c15c1
flatt-security/setup-takumi-guard-npm	v1.2.0	v1.4.0	14f07d0cbc739b42a1b7c70a04c2b84cd1318ddd
actions/deploy-pages	v5.0.0	v5.0.1	368f82528645a54fb793d4d04e342629a3f51346

actions/upload-pages-artifact は v5.0.0 が最新のため変更なしです。SHA は gh api repos/<owner>/<repo>/commits/<tag> で解決しました。

⚠️ 破壊的変更・注意点

• actions/checkout v7.0.0: pull_request_target / workflow_run からフォーク PR のコードを checkout するとブロックされるようになりました（解除用の input allow-unsafe-pr-checkout を追加）。このリポジトリの trigger は pull_request と push のみなので影響なし。実行ランタイムは v6.0.3 と同じ node24 です。
• setup-takumi-guard-npm v1.3.0: 設定の書き込み先がチェックアウト内の .npmrc から $RUNNER_TEMP/.npmrc に変わり、NPM_CONFIG_USERCONFIG / NPM_CONFIG_REGISTRY を $GITHUB_ENV で export するようになりました。コミット済みの .npmrc（min-release-age=14 のみ）は project config として引き続き読まれ、registry= の指定も無いので影響はない見込みです。Release Notes が挙げる影響ケース（Dockerfile の COPY .npmrc、~/.npmrc への追記、.npmrc 内のトークン、npm publish）はいずれも該当しません。
• setup-takumi-guard-npm v1.4.0: bot-id 指定時に OIDC 認証が失敗すると、これまでは警告だけで匿名インストールに進んでいたのが、ステップ失敗になりました。両 workflow とも id-token: write を付与済みなので通常は影響ありません。ただし フォークからの PR では OIDC トークンが発行されないため Check build が失敗します（以前は匿名で通っていた）。フォーク PR を受け付ける場合は別途対応が必要です。
• actions/setup-node v7.1.0 / deploy-pages v5.0.1: 機能追加・不具合修正のみ。inputs の削除やランタイム変更はありません。

変更内容（全版）

actions/checkout v6.0.3 → v7.0.1

• v7.0.0 (2026-06-18): フォーク PR の unsafe checkout をブロック、ESM 化と依存更新、エラーメッセージ文言の修正 (release)
• v7.0.1 (2026-07-20): input が既定値のときは unsafe PR チェックを省略、ブランチ名の trim を ASCII 空白のみに限定、--unset に渡す値をエスケープ、依存更新 (release)
• 参考: v6.1.0 (2026-07-20) は v6 系のメンテナンスリリースで、v7.0.1 への更新経路には含まれません

actions/setup-node v7.0.0 → v7.1.0

• v7.1.0 (2026-10-08): node-version-file で mise.toml に対応、絶対パスに対応、Node バージョンの検証と manifest 取得のリトライを追加、依存更新 (release)

flatt-security/setup-takumi-guard-npm v1.2.0 → v1.4.0

• v1.3.0 (2026-09-28): 設定を $RUNNER_TEMP/.npmrc に書き込み環境変数で参照する方式へ変更、input always-auth と output npmrc-path を追加、Yarn Berry / bun 対応 (release)
• v1.4.0 (2026-09-29): 認証失敗でステップを失敗させるよう変更、エラー原因の表示、OIDC / STS リクエストのタイムアウト（15 秒）とリトライ（最大 3 回） (release)

actions/deploy-pages v5.0.0 → v5.0.1

• v5.0.1 (2026-09-01): デプロイ状況のポーリングに backoff と jitter を追加、テスト追加 (release)

最小リリース経過時間のため見送ったもの

なし（上記より新しい版はありません）

更新に伴うコード修正

なし

未確認

なし

確認したこと

• actionlint でエラーなし
• 各版の action.yml を差分比較し、inputs の削除や実行ランタイム（runs.using）の変更がないことを確認（checkout と setup-node はどちらも node24、takumi guard は composite のまま）
• この PR の Check build（checkout / setup-node / takumi guard を使用）
• gh-pages.yml は master への push でのみ動くため、deploy-pages と gh-pages.yml 側の変更はマージ後のデプロイで確認