ペルソナ: あなたは Go DevOps エンジニアです。CI を品質ゲートとして扱い、パイプラインのすべての決定はビルド速度、シグナルの信頼性、セキュリティ態勢に対して検討します。

モード:

• セットアップ — プロジェクトに初めて CI を追加する場合: Quick Reference テーブルから始め、ワークフローを以下の順序で生成します: test → lint → security → release。各 GitHub Action の最新安定メジャーバージョンを推奨します。
• 改善 — 既存パイプラインの監査または拡張: 現在のワークフローファイルを最初に読み、Quick Reference テーブルに対するギャップを特定し、既存ステップの重複なく対象を絞った追加を提案します。

Go Continuous Integration

GitHub Actions を使用して Go プロジェクト向けの本番級 CI/CD パイプラインを設定します。

アクションバージョン

以下の例のバージョンは参考バージョンであり、古い可能性があります。GitHub Actions は頻繁にリリースされるため、各アクション (actions/checkout、actions/setup-go、golangci/golangci-lint-action、codecov/codecov-action、goreleaser/goreleaser-action など) の現在のメジャーバージョンは、ここで示されているものと異なる場合があります。

Quick Reference

ステージ	ツール	目的
テスト	go test -race	ユニット + レース検出
カバレッジ	codecov/codecov-action	カバレッジレポート
リント	golangci-lint	包括的なリント
ベット	go vet	組み込み静的解析
SAST	gosec、CodeQL、Bearer	セキュリティ静的解析
脆弱性スキャン	govulncheck	既知脆弱性検出
Docker	docker/build-push-action	マルチプラットフォームイメージビルド
依存関係	Dependabot / Renovate	自動依存関係更新
リリース	GoReleaser	自動バイナリリリース
AI レビュー	Claude Code / Copilot	AI 駆動型 PR レビュー

---

テスト

.github/workflows/test.yml — test.yml を参照

Go バージョンマトリックスを go.mod に合わせて調整:

go 1.23   → matrix: ["1.23", "1.24", "1.25", "1.26", "stable"]
go 1.24   → matrix: ["1.24", "1.25", "1.26", "stable"]
go 1.25   → matrix: ["1.25", "1.26", "stable"]
go 1.26   → matrix: ["1.26", "stable"]

fail-fast: false を使用して、あるバージョンの失敗が他のバージョンをキャンセルしないようにします。

テストフラグ:

• -race: CI は -race フラグを使用してテストを実行する必要があります (データレース — Go での未定義の動作を検出)
• -shuffle=on: テスト順序をランダム化してテスト間の依存関係を検出
• -coverprofile: カバレッジデータを生成
• git diff --exit-code: go mod tidy が何かを変更した場合は失敗

カバレッジ設定

CI はコードカバレッジしきい値を強制する必要があります。リポジトリルートの codecov.yml でしきい値を設定します — codecov.yml を参照

---

統合テスト

.github/workflows/integration.yml — integration.yml を参照

-count=1 を使用してテストキャッシュを無効化します — キャッシュされた結果はフレーキーなサービス相互作用を隠す可能性があります。

---

リント

golangci-lint は CI ですべてのPR で実行される必要があります。.github/workflows/lint.yml — lint.yml を参照

golangci-lint 設定

プロジェクトのルートに .golangci.yml を作成します。推奨設定については samber/cc-skills-golang@golang-lint スキルを参照してください。

---

セキュリティ & SAST

.github/workflows/security.yml — security.yml を参照

CI は govulncheck を実行する必要があります。これはプロジェクトが実際に呼び出すコードパスの脆弱性のみを報告します — 汎用 CVE スキャナーと異なります。CodeQL の結果はリポジトリのセキュリティタブに表示されます。Bearer は機密データフローの問題検出に優れています。

CodeQL 設定

拡張セキュリティクエリスイートを使用するために .github/codeql/codeql-config.yml を作成します — codeql-config.yml を参照

使用可能なクエリスイート:

• default: 標準セキュリティクエリ
• security-extended: より低い精度の追加セキュリティクエリ
• security-and-quality: セキュリティクエリとメンテナンス性・信頼性チェック

コンテナイメージスキャン

プロジェクトが Docker イメージを生成する場合、Trivy コンテナスキャンが Docker ワークフローに含まれます — docker.yml を参照

---

依存関係管理

Dependabot

.github/dependabot.yml — dependabot.yml を参照

マイナー/パッチ更新は 1 つの PR にグループ化されます。メジャー更新は破壊的変更の可能性があるため、個別の PR を取得します。

Dependabot の自動マージ

.github/workflows/dependabot-auto-merge.yml — dependabot-auto-merge.yml を参照

セキュリティ警告: このワークフローは contents: write と pull-requests: write を必要とします — これは PR をマージし、リポジトリコンテンツを変更できる昇格された権限です。if: github.actor == 'dependabot[bot]' ガードは Dependabot のみに実行を制限します。このガードを削除しないでください。github.actor チェックは完全にスプーフプルーフではないことに注意してください — ブランチ保護ルールが本当のセーフティネットです。ブランチ保護が設定されていることを確認してください (リポジトリセキュリティ設定 を参照) 必須ステータスチェックと必須承認が含まれているため、誰がワークフローをトリガーしたかに関わらず、すべてのチェックが成功した後でのみ自動マージが成功します。

Renovate (代替)

Renovate は Dependabot より成熟した設定可能な代替手段です。ネイティブオートマージ、グループ化、スケジューリング、正規表現マネージャー、モノレポ対応の更新をサポートします。Dependabot が制限的すぎる場合、Renovate が最良の選択肢です。

Renovate GitHub App をインストールし、リポジトリルートに renovate.json を作成します — renovate.json を参照

Dependabot に対する主な利点:

• gomodTidy: 更新後に自動的に go mod tidy を実行
• ネイティブオートマージ: 別のワークフローが不要
• より良いグループ化: PR をグループ化するための柔軟なルール
• 正規表現マネージャー: Dockerfile、Makefile などのバージョンを更新できます
• モノレポサポート: Go ワークスペースとマルチモジュールリポジトリを処理

---

リリース自動化

GoReleaser はバイナリビルド、チェックサム、GitHub リリースを自動化します。設定はプロジェクトタイプに応じて大きく異なります。

リリースワークフロー

.github/workflows/release.yml — release.yml を参照

セキュリティ警告: このワークフローは GitHub リリースを作成するために contents: write を必要とします。タグプッシュ (tags: ["v*"]) に制限されているため、PR やブランチプッシュによってはトリガーできません。リポジトリへのプッシュアクセス権を持つユーザーのみがタグを作成できます。

CLI/プログラム向け GoReleaser

プログラムにはクロスコンパイルバイナリ、アーカイブ、オプションで Docker イメージが必要です。

.goreleaser.yml — goreleaser-cli.yml を参照

ライブラリ向け GoReleaser

ライブラリはバイナリを生成しません — チェンジログ付きの GitHub リリースのみが必要です。ビルドをスキップする最小設定を使用します。

.goreleaser.yml — goreleaser-lib.yml を参照

ライブラリの場合、GoReleaser が不要な場合もあります — UI 経由または gh release create を使用して作成された単純な GitHub リリースで十分なことが多いです。

モノレポ / マルチバイナリ向け GoReleaser

リポジトリに複数のコマンドが含まれている場合 (例: cmd/api/、cmd/worker/)。

.goreleaser.yml — goreleaser-monorepo.yml を参照

Docker ビルド & プッシュ

Docker イメージを生成するプロジェクト向け。このワークフローはマルチプラットフォームイメージをビルドし、SBOM とプロベナンス証明を生成し、GitHub Container Registry (GHCR) と Docker Hub の両方にプッシュし、Trivy コンテナスキャンを含みます。

.github/workflows/docker.yml — docker.yml を参照

セキュリティ警告: 権限はジョブごとにスコープされます: container-scan ジョブは contents: read + security-events: write のみを取得し、docker ジョブは packages: write (GHCR へのプッシュ用) と attestations: write + id-token: write (プロベナンス/SBOM 署名用) を取得します。これにより、スキャンジョブが侵害されてもイメージをプッシュできません。push フラグは PR では false に設定されているため、信頼されていないコードはイメージを公開できません。DOCKERHUB_USERNAME と DOCKERHUB_TOKEN シークレットはリポジトリシークレット設定で設定される必要があります — 認証情報をハードコードしないでください。

主要な詳細:

• QEMU + Buildx: マルチプラットフォームビルド (linux/amd64,linux/arm64) に必要です。不要なプラットフォームは削除してください。
• PR での push: false: イメージはビルドされますが、プルリクエストではプッシュされません — これは信頼されていないコードを公開することなく Dockerfile を検証します。
• メタデータアクション: 自動的に semver タグを生成します (v1.2.3 → 1.2.3、1.2、1)、ブランチタグ (main)、SHA タグ。
• プロベナンス + SBOM: provenance: mode=max と sbom: true はサプライチェーン証明を生成します。これらは attestations: write と id-token: write 権限が必要です。
• デュアルレジストリ: GHCR (追加シークレット不要で GITHUB_TOKEN を使用) と Docker Hub (シークレット DOCKERHUB_USERNAME + DOCKERHUB_TOKEN が必要) の両方にプッシュします。不要な場合は Docker Hub ログインと イメージ行を削除してください。
• Trivy: ビルドされたイメージを CRITICAL と HIGH の脆弱性についてスキャンし、結果をセキュリティタブにアップロードします。
• イメージ名とレジストリをプロジェクトに合わせて調整します。GHCR のみの場合、Docker Hub ログインステップと images: の docker.io/ 行を削除します。

---

リポジトリセキュリティ設定

ワークフローファイルを作成した後、開発者に GitHub リポジトリ設定 (ブランチ保護、ワークフロー権限、シークレット、環境) を設定するよう指示してください — repo-security.md を参照

---

AI 駆動型コードレビュー

従来の静的解析と並行して PR レビュアーとして AI エージェントを追加します。このスキルプラグインと共にロードされた場合、エージェントはレビュー領域ごとに関連する Go スキルを適用します — リンターが検出できない建築的なドリフト、論理バグ、エラーコンテキストの欠落、同時性の危険を検出します。

コストメモ: AI レビューエージェントは PR ごとに並行実行されます。コスト管理のため、不要なジョブを削除するか、PR トリガーフィルターを特定のブランチのみに上げます。

Claude Code

.github/workflows/ai-review.yml — claude-code-review.yml を参照

ワークフローは並行ジョブを実行し、それぞれはレビュー領域と優先度のセットにスコープされます:

ジョブ	領域	優先度
quality	コードスタイル、命名、ドキュメンテーション、デザインパターン	提案優先
correctness	エラーハンドリング、コード安全性、同時性	ブロック優先
security	セキュリティ、依存関係	ブロック優先
quality-depth	テスト、パフォーマンス、可観測性、モダナイズ	混合

プロジェクトに応じて、以下もロードします: golang-cli、golang-context、golang-data-structures、golang-database、golang-dependency-injection、またはライブラリ固有のスキル。

Claude Code で /install-github-app を実行して Claude API に接続し、必要なシークレットを設定します。

GitHub Copilot

スキルをリポジトリにコピーし、copilot-review-instructions.md を .github/copilot-instructions.md に追加します:

npx skills add https://github.com/samber/cc-skills-golang --agent github-copilot --skill '*' -y --copy
ln -s .agents .copilot

---

一般的な間違い

間違い	修正
CI テストで -race が欠落	常に go test -race を使用
-shuffle=on がない	テスト順序をランダム化してテスト間の依存関係を検出
統合テスト結果をキャッシュ	-count=1 を使用してキャッシュを無効化
go mod tidy が確認されていない	go mod tidy && git diff --exit-code ステップを追加
fail-fast: false が欠落	1 つの Go バージョンの失敗が他のジョブをキャンセルしてはいけません
アクションバージョンがピン留めされていない	GitHub Actions は必ずメジャーバージョンをピン留めする必要があります (例: @vN、@master ではなく)
permissions ブロックがない	ジョブごとに最小権限に従う
govulncheck の結果を無視	正当な理由がある場合は修正または抑制
CI に AI レビューがない	Claude Code または Copilot レビューを追加 — 静的解析が見逃す論理、セキュリティ、建築的問題を検出

関連スキル

samber/cc-skills-golang@golang-lint、samber/cc-skills-golang@golang-security、samber/cc-skills-golang@golang-testing、samber/cc-skills-golang@golang-dependency-management、samber/cc-skills-golang@golang-modernize スキルを参照してください。