ci(repo): deploy の PR コメント経路と permissions を締め、Playwright キャッシュと e2e のポート伝播を足す (#239 #198)

[shinyaoguri]

目的

2026-08 レビュー (#243) の残件のうち CI / e2e の低コスト指摘 2 件。

PR #254 との重複はありません。 #254 は pr-title.yml / freshness.yml の新規追加と .claude/settings.json / CHANGELOG / ADR が対象で、deploy.yml には一切触れていません。

⚠️ #239 子項目① は Issue の前提が誤りだったことが CI の実測で判明したため、当初の修正を取り下げました。 詳細は下記。

#239 — CI の磨き込み (3 子項目)

子項目	着手前	本 PR の結論
① PR プレビューの文字列直展開	未解決とされていた	command: は非該当 (Issue の前提が誤り) / command-output は実在したので修正
② top-level permissions	実効は解消・YAML は未宣言	明示を追加
③ Playwright キャッシュ	未解決 (リポジトリ全体に actions/cache が 0 件)	追加

①-a command: — Issue の前提が誤りだった (修正を取り下げ)

当初 github.head_ref などを env: 経由のシェル変数参照に変えましたが、CI で deploy-preview が落ちて前提の誤りが判明しました。

[command] npx wrangler pages deploy ./dist --project-name=$CF_PROJECT_NAME --branch=$PREVIEW_BRANCH ...
✘ [ERROR] The Pages project "$CF_PROJECT_NAME" does not exist.

wrangler-action v4 は command: をシェルに渡さず、トークン分割して npx を直接 exec します。 よって:

• $VAR は展開されない → env 経由の「修正」はデプロイを壊す
• シェルが介在しない以上、head_ref に含まれうる ; $ & バッククォートは不活性
• git はブランチ名に空白を許さないため、引数分割も起きない

つまり command: にコマンドインジェクションは成立しません。直接展開のまま戻し、次に読む人が同じ「修正」を当てて再びデプロイを壊さないよう、実測の根拠をコメントで残しました。

事前に wrangler-action の src/exec.ts を読んで「child_process.exec() = シェル経由」と判断したのが誤りで、command: 入力はその経路を通っていませんでした。CI が実物で反証してくれた形です。

① -b command-output — こちらは実在したので修正

actions/github-script の script: は本物の JS 評価なので、こちらは実在の問題です。

const output = `${{ steps.preview-deploy.outputs.command-output }}`;

wrangler の出力にバッククォートや ${ が混ざった瞬間にスクリプトごと壊れて job が落ちます。env: 経由で渡し process.env 参照に変更しました。以降の output.match(...) 以下のロジックは無変更です。

② top-level permissions

contents: read を明示。実効の変化はありません (リポ設定側で default_workflow_permissions: read)。目的は明示性と、将来リポ設定が変わったときの防御です。labeler.yml / pr-title.yml / freshness.yml は既に top-level 宣言を持っており、deploy.yml だけが取り残されていました。job level の 3 箇所は据え置き。

③ Playwright キャッシュ

~/.cache/ms-playwright をキャッシュ。キーには npx playwright --version が報告する実解決バージョンを使っています (package-lock.json のハッシュだけだと Playwright と無関係な依存更新でも無効化されるため)。--with-deps が入れる OS パッケージはキャッシュ対象外なので、npx playwright install 自体はヒット時も実行したままです。

#198 — e2e にポートが渡っていない

webServer は port: EDITOR_PORT / port: WORKERS_PORT を宣言しているのに、起動コマンドにはポートが一切渡っていません (env: も --port も無し)。結果:

• E2E_EDITOR_PORT を指定しても実サーバは既定ポートに上がる
• reuseExistingServer: !isCI なので、既定ポートを無関係のプロセスが握っていると Playwright はそれを自分のサーバとみなす (port: 指定では TCP 応答しか見ず同一性確認が原理的に行われない)

scripts/dev.mjs:118-145 に同じ配線の前例があるので踏襲しました。editor は env (vite.config.ts は既に EDITOR_PORT で server.port + strictPort を、WORKERS_PORT で VITE_API_URL を追従させる実装 — 受け口は実装済みで渡していなかっただけ)、workers は wrangler が env を読まないため --port。

同一性 assert は入れていません。strictPort が立てば他人のプロセスが居座るポートでは起動が失敗するので、誤認の実害はそこで消えます。

ADR-0030 の自動ポート割当は scripts/dev.mjs (= npm run dev) 経路にしか効かず、e2e は各パッケージの dev script を直接叩くため恩恵がありません。#196 では解消していませんでした。 CI は reuseExistingServer: false なので影響はローカル開発のみです。

確認方法

• actionlint .github/workflows/deploy.yml — 指摘なし

• npm run lint / npm run typecheck -w @typedcode/e2e — green

• ポート伝播を実測 (ローカル):

  起動	結果
  EDITOR_PORT=5183 WORKERS_PORT=8797 npm run dev -w @typedcode/editor	5183 で応答 (HTTP 200) / 5173 は無応答
  npm run dev -w @typedcode/workers -- --port 8797	8797 で応答 (HTTP 404 = ルート未定義で正常) / 8787 は無応答

• deploy-preview が実際に通ることが command: を戻した判断のゲート (1 回落として原因を特定した経緯そのもの)

Closes #239
Closes #198

[github-actions]

🚀 Preview Deployment

Name	URL
Preview	https://faa4b97e.typedcode.pages.dev

Deployed from commit 948a8f5
API: staging Workers