Repository navigation
ci: auto-merge Dependabot patch and minor updates - #102
Merged
Merged
Conversation
Enable squash auto-merge for npm, pip, and uv patch and minor updates, label major updates, and add a weekly comment-only Codex review. Co-authored-by: NAGI <Nagi-Inaba@users.noreply.github.com>
Codex Review SummaryThis comment shows the latest Codex review activity on this pull request.
ℹ️ About Codex in GitHubYour team has set up Codex to review pull requests in this repo. Reviews are triggered when you
Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings. |
![chatgpt-codex-connector[bot]](https://avatars.githubusercontent.com/in/1144995?s=60&v=4){kind=small}
There was a problem hiding this comment.
💡 Codex Review
Here are some automated review suggestions for this pull request.
Reviewed commit: 70db134ecf
ℹ️ About Codex in GitHub
Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you
- Open a pull request for review
- Mark a draft as ready
- Comment "@codex review".
If Codex has suggestions, it will comment; otherwise it will react with 👍.
Codex can also answer questions or update the PR. Try commenting "@codex address that feedback".
Dependabot auto-merge never checks out the pull request, so gh label create cannot infer the repo. Set GH_REPO and pass --repo on every gh command in that job. Co-authored-by: NAGI <Nagi-Inaba@users.noreply.github.com>
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Purpose
Dependabot が開く npm、pip、uv の semver patch と minor だけを、必須チェックが通ったあと squash で自動マージできるようにする。major は自動マージせず
needs-reviewを付ける。major、またはチェックが失敗している Dependabot PR は、週次の Codex レビューがコメントだけを残す。Scope
.github/workflows/dependabot-auto-merge.ymlはpull_request_targetで default branch の定義だけを実行し、PR の code は checkout しない。作者がdependabot[bot]で、head が同一 repository のときだけ動く。dependabot/fetch-metadatav3.1.0 のupdate-typeが patch または minor、かつpackage-ecosystemがnpm_and_yarn、npm、pip、uvのときgh pr merge --auto --squashを実行する。GitHub は必須チェックが通るまでマージしない。major はneeds-reviewを付ける。github-actions は自動マージしない。group 更新は fetch-metadata と同じく最も大きい semver を採用する。.github/workflows/dependabot-codex-review.ymlは毎週月曜 09:00 JST（cron0 0 * * 1）とworkflow_dispatchで動く。開いている Dependabot PR のうち major、または失敗チェックがあるものについてopenai/codex-actionv1.13 が diff、CI、changelog を読む。投稿はgh pr review --commentだけで、承認、マージ、クローズはしない。OPENAI_API_KEYが無い実行はOPENAI_API_KEY is not set. Skipping Codex review.をログに残して成功終了する。docs/github-publication-checklist.mdに、この運用に必要な repository 設定を追記した。Verification
actionlint1.7.12（ShellCheck 0.9.0 あり）を両方の workflow に実行し、指摘は 0 件。ruff checkとruff format --checkは.github/scripts/dependabot_codex_review.pyに対して成功。self-checkも成功。selectは、開いている Dependabot PR を major または失敗チェックで分類した。chore: bump the worker-dependencies group across 1 directory with 4 updates #96 の packet 生成も確認した。コメントは投稿していない。python3 scripts/verify_repository_boundary.pyはrepository-boundary: ok。workflow_dispatchは行っていない。Public-data safety checklist
オーナー設定
この PR を merge しただけでは自動マージも Codex レビューも始まらない。次を repository 設定で行う。
OPENAI_API_KEYを追加する。Settings → Secrets and variables → Actions → Repository secrets。週次レビューはscheduleとworkflow_dispatchだけで、Dependabot イベントでは起動しない。Dependabot secrets への追加は不要である。secret が無い週次実行はログを残して成功終了し、Codex は呼ばれない。allow_auto_merge: false。Settings → General → Pull Requests → Allow auto-merge。squash merge は既に有効（allow_squash_merge: true）なので、その設定は維持する。無効のままだとgh pr merge --autoが失敗し、自動マージ job は赤になる。mainの branch protection または ruleset で、次のci.ymljob 名を必須 status check にする。名前は表示どおり。Python 3.12 on ubuntu-latestPython 3.12 on windows-latestPython 3.12 on macos-latestPython 3.13 on ubuntu-latestPython 3.14 on ubuntu-latestPython 3.14 on windows-latestPython 3.14 on macos-latestInstalled wheel on ubuntu-latestInstalled wheel on windows-latestInstalled wheel on macos-latestInstalled wheel on Python 3.13Synthetic determinism on ubuntu-latestSynthetic determinism on windows-latestSynthetic determinism on macos-latestCompare synthetic determinismCloudflare Worker on Node 22CodeQLは必須にしない。 Dependabot PR ではCodeQLが skipping になる。必須にすると patch/minor の auto-merge は完了しない。Dependabot auto-mergejob 自体も必須にしない。Dependabot 以外の PR ではその job は skip され、Allow auto-merge が無効な間は失敗する。permissionsはcontents: read。write は自動マージ job だけがcontents: write、issues: write、pull-requests: writeを宣言する。Codex job はpull-requests: writeを持たず、コメント job だけが review comment を投稿する。Organization policy がGITHUB_TOKENの write を全面禁止している場合は、workflow 内のpermissionsでは auto-merge を有効にできない。