[検証用・マージしない] master への PR で CI が発火するかの確認

.github/secret_scanning.yml

@@ -0,0 +1,49 @@
+# --------------------------------------------------
+# Secret scanning のアラートから除外するパス
+#
+# ここに書いたパスは「アラートを出さない」だけである。
+# **Push protection には効かない。** Push protection は除外設定を見ず、
+# 検知したら push を止める（通したい場合はバイパスする）。
+#
+# したがって本ファイルの目的は、
+# **テスト専用の資材で Security タブが埋まり、本物が見えなくなるのを防ぐこと**にある。
+#
+# 参考: https://docs.github.com/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/excluding-folders-and-files-from-secret-scanning
+# --------------------------------------------------
+paths-ignore:
+
+  # --------------------------------------------------
+  # 暗号・署名テスト用の証明書と秘密鍵（19 件）
+  #
+  # Public.Security（JWT / JWS / JWE / 鍵交換 / X.509）のテストと、
+  # サンプルの SSL/TLS・クライアント証明書認証で使う。
+  # **すべてテスト専用の自己署名で、実運用の証明書は含まない。**
+  #
+  # 実体は次で参照される。
+  #   Frameworks/Tests/EncAndDecUtil, EncAndDecUtilCUI
+  #   Frameworks/Tests/TestCode
+  #   Samples/WS_sample ほか
+  # --------------------------------------------------
+  - "root/files/resource/X509/**"
+
+  # --------------------------------------------------
+  # ClickOnce の署名用（テンポラリ キー）
+  #
+  # WSClientWinCone_sample.csproj が拇印で証明書ストアを検索するため、
+  # 当該証明書が無い環境ではビルドできない（BUILDING.md 4 節）。
+  # 検証 3 本では MSB3482 / MSB3325 / MSB3321 を既知として除外している。
+  # --------------------------------------------------
+  - "root/programs/CS/Samples/WS_sample/WSClient_sample/WSClientWinCone_sample/WSClientWinCone_sample_TemporaryKey.pfx"
+
+# --------------------------------------------------
+# ここに足していないもの、と その理由
+#
+# ・テスト・サンプルの接続文字列（Password= を含む app.config / appsettings.json、49 件）
+#     Non-provider patterns（汎用のパスワードらしき文字列）を**無効のまま**にしていれば
+#     検知されない。既定は無効。
+#     広く paths-ignore に足すと、本物を取りこぼす側のリスクが上がるため入れない。
+#
+# ・Frameworks/Tests/** や Samples/** をまとめて除外すること
+#     範囲が広すぎる。**本物のキーを誤って置いたときに気付けなくなる。**
+#     除外は「中身が分かっているファイル」に限る。
+# --------------------------------------------------

.github/workflows/build-windows.yml

@@ -0,0 +1,279 @@
+# 受けブランチ（deps）に入った変更を windows-latest で検証する。
+#
+# ＜位置づけ＞
+#   リリース時の検証 3 本（RELEASE.md 3 節）を、そのまま順に実行する。
+#     1_BuildAll.ps1    全ビルド
+#     2_RunAllTests.ps1 単体テスト
+#     3_SmokeTest.ps1   サンプルの疎通
+#   「何をビルドするか」の正はバッチ側、「合否の判定」の正は各 .ps1 にある。
+#   ここには判定を書かない（書くと二重管理になる）。
+#   順序も入れ替えない（1 のクリーンとアセンブリ配置が 2・3 の前提になる）。
+#
+# ＜対象外＞
+#   ・GUI アプリケーション（WinForms / WPF / 各ツールの画面）… RELEASE.md 4 節の手作業
+#   ・SQL Server 以外の DBMS への接続 … 自動テストは /Dap SQL のみを使う
+#     （TestSQLUtility は 4 DBMS の SQL 生成を検証するが、接続はしない）
+#
+# ＜署名エラーを除外している理由＞
+#   WSClientWinCone_sample.csproj は ClickOnce の署名が有効で、証明書を拇印で指定し、
+#   同梱の .pfx はパスワード保護されている。実行のたびに作り直される CI では用意できない。
+#
+#   ローカルと CI で出るコードが違うことに注意する。
+#     ローカル : MSB3482（マニフェストの署名で失敗）
+#              … .pfx が既にキー コンテナへ取り込まれており、最後の署名まで進むため
+#     CI       : MSB3325 / MSB3321（キー ファイルの取り込みで失敗）
+#              … ResolveKeySource が .pfx を取り込めず、署名に到達しないため
+#
+#   このため 3 つのコードを対象にし、さらに当該プロジェクトに限定する。
+#   除外した内容はログに一覧されるので、握り潰しにはならない。
+
+name: Build on Windows
+
+on:
+  push:
+    branches: [deps]
+  # master 宛の PR ではリリースの関所として動かす。
+  #
+  #   ・master へのマージは develop からのリリース時だけで、往復しない。
+  #     1 回あたり 10 分前後の待ちは受け入れられる。
+  #   ・RELEASE.md フェーズ 1 の「検証 3 本」を機械的に担保する。
+  #
+  # develop は対象にしない。deps ⇔ develop ⇔ feature と往復が多く、
+  # 毎回のマージが CI 待ちになる。deps 由来の変更は deps で検証済みでもある。
+  pull_request:
+    branches: [master]
+  workflow_dispatch:
+
+permissions:
+  contents: read
+
+jobs:
+  build:
+    runs-on: windows-latest
+    # ローカルの実測はビルド 5.8 分＋テスト 1.3 分。DB の導入と初期化を足して余裕を持たせる。
+    timeout-minutes: 120
+
+    env:
+      # ankane/setup-sqlserver が設定する既定のパスワード。
+      INITIAL_SA_PASSWORD: 'YourStrong!Passw0rd'
+      # テストとサンプルの構成ファイルに直書きされている値。
+      #   Data Source=localhost;Initial Catalog=Northwind;User ID=sa;Password=seigi@123;Encrypt=false;
+      # 構成側を CI 用に書き換えると「実際に使われる設定」と乖離するため、DB 側を合わせる。
+      SA_PASSWORD: 'seigi@123'
+      # LocalServicesOnDocker の docker-compose.yml が指定する照合順序と同じ。
+      COLLATION: 'Japanese_CI_AS'
+
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v7
+
+      # 1_BuildAll.ps1 は git を使わないため、既定の浅い clone のままでよい。
+      # 2_RunAllTests.ps1 は git show HEAD: で期待値を取るが、これも浅い clone で足りる。
+      - name: Build all
+        shell: pwsh
+        working-directory: root/programs
+        run: .\1_BuildAll.ps1 -OutputDir "${{ runner.temp }}\BuildLogs" -IgnoreErrors 'error MSB(3482|3325|3321):.*WSClientWinCone_sample\.csproj'
+
+      # ------------------------------------------------------------------
+      # 単体テストのための SQL Server
+      # ------------------------------------------------------------------
+      # LocalServicesOnDocker の docker-compose はそのままでは使えない。
+      # sqlserver サービスが Linux イメージ（mcr.microsoft.com/mssql/server）で、
+      # windows-latest は Linux コンテナを動かせないため（多段のネストができない）。
+      # 代わりに runner へ直接 SQL Server を入れ、同リポジトリの instnwnd.sql だけを使う。
+      #
+      # 第三者のアクションなのでコミットで固定する（v1 はタグではなくブランチ）。
+      - name: Install SQL Server
+        uses: ankane/setup-sqlserver@82b78e23506d0c8acfb64e05728ac450ff8a98c6 # v1
+        with:
+          accept-eula: true
+          sqlserver-version: 2022
+
+      - name: Set up Northwind
+        shell: pwsh
+        env:
+          # LocalServicesOnDocker のコミットに固定する。
+          # 中身は Microsoft 公式の Northwind DDL（約 1 MB）。
+          NORTHWIND_URL: https://raw.githubusercontent.com/NetDevInfraWGinOSSConsortium/LocalServicesOnDocker/90763cd5f2aa681b1172d9277a2b133514fdaebe/sqlserver/init/instnwnd.sql
+        run: |
+          $ErrorActionPreference = 'Stop'
+
+          # sqlcmd 18 以降は既定で暗号化するため -C（サーバー証明書を信頼）が要る。
+          # 旧版は -C を解釈しないので、使えるかどうかを一度だけ判定する。
+          $cflag = @()
+          & sqlcmd -S localhost -U sa -P $env:INITIAL_SA_PASSWORD -C -Q "SELECT 1" *> $null
+          if ($LASTEXITCODE -eq 0) { $cflag = @('-C') }
+
+          function Invoke-Sql
+          {
+              param([string]$Password, [string]$Database, [string]$Query, [string]$File, [switch]$Raw)
+
+              $a = @('-S', 'localhost', '-U', 'sa', '-P', $Password, '-b') + $cflag
+              if ($Database) { $a += @('-d', $Database) }
+              if ($Raw)      { $a += @('-h', '-1', '-W') }
+              if ($Query)    { $a += @('-Q', $Query) }
+              if ($File)     { $a += @('-i', $File) }
+              & sqlcmd @a
+          }
+
+          # 構成ファイルに合わせてパスワードを変更する。
+          Write-Host "sa のパスワードを構成ファイルに合わせます。"
+          Invoke-Sql -Password $env:INITIAL_SA_PASSWORD -Query "ALTER LOGIN sa WITH PASSWORD = '$($env:SA_PASSWORD)'"
+          if ($LASTEXITCODE -ne 0) { throw "sa のパスワードを変更できませんでした。" }
+
+          $sql = Join-Path $env:RUNNER_TEMP 'instnwnd.sql'
+          Invoke-WebRequest -Uri $env:NORTHWIND_URL -OutFile $sql
+          Write-Host ("instnwnd.sql を取得しました（{0:N0} バイト）。" -f (Get-Item $sql).Length)
+
+          # instnwnd.sql は DB を作らない（対象 DB の中で実行する）ため、先に CREATE する。
+          # 照合順序は DB 既定として与える。Northwind の列は COLLATE 句を持たないので、
+          # 各列がこれを継承する。
+          #
+          # 起動直後は一部のバッチが失敗して不完全なロードになることがあるため
+          # （表だけできてデータが入らない等）、Shippers が 3 行あるかで検証して再試行する。
+          # 判定方法は LocalServicesOnDocker の start-up.sh に合わせている。
+          $loaded = $false
+
+          foreach ($attempt in 1..3)
+          {
+              Write-Host "Northwind をロードします（$attempt 回目）。"
+
+              # ヒアストリングは使わない。YAML のブロック スカラーはインデントを
+              # 剥がすため、終端の "@ を行頭に置く必要があり、桁が衝突する。
+              $drop   = "IF DB_ID('Northwind') IS NOT NULL BEGIN ALTER DATABASE Northwind SET SINGLE_USER WITH ROLLBACK IMMEDIATE; DROP DATABASE Northwind; END;"
+              $create = "CREATE DATABASE Northwind COLLATE $($env:COLLATION);"
+
+              Invoke-Sql -Password $env:SA_PASSWORD -Query "$drop $create"
+              Invoke-Sql -Password $env:SA_PASSWORD -Database Northwind -File $sql *> $null
+
+              $n = (Invoke-Sql -Password $env:SA_PASSWORD -Database Northwind -Raw `
+                    -Query "SET NOCOUNT ON; SELECT COUNT(*) FROM dbo.Shippers") -join ''
+              if ($n.Trim() -eq '3') { $loaded = $true; break }
+
+              Write-Host "  ロードが不完全です。再試行します。"
+          }
+
+          if (-not $loaded) { throw "Northwind のロードが完了しませんでした。" }
+
+          # Northwind 標準には無い表。3_SmokeTest.ps1 の RerunnableBatch 系が使う。
+          # （Orders 830 件を読んで Orders2 へ INSERT する。空にするのはスクリプト側の役目）
+          #
+          # 3_SmokeTest.ps1 も無ければ作るため、ここは無くても通る。
+          # それでも流しておくのは、DB の準備をこのステップに閉じるため
+          # （疎通確認より前に、表が揃っていることを確かめられる）。
+          # なお sqlcmd は GO をそのまま解釈できる。SqlClient で流すスクリプト側は
+          # 自前で分割している。
+          $orders2 = 'root/programs/CS/Samples/Bat_sample/RerunnableBatch_sample/CREATE ORDERS2.sql'
+          Invoke-Sql -Password $env:SA_PASSWORD -Database Northwind -File $orders2 *> $null
+
+          # 初期状態の確認（RELEASE.md 2 節と同じ観点）。
+          $orders = (Invoke-Sql -Password $env:SA_PASSWORD -Database Northwind -Raw `
+                     -Query "SET NOCOUNT ON; SELECT COUNT(*) FROM dbo.Orders") -join ''
+          Write-Host ("Northwind 準備完了 : Shippers=3  Orders={0}" -f $orders.Trim())
+
+      # ------------------------------------------------------------------
+      # テストが前提とする環境（C:\root と日本語ロケール）
+      # ------------------------------------------------------------------
+      - name: Set up C:\root and locale
+        shell: pwsh
+        run: |
+          $ErrorActionPreference = 'Stop'
+
+          # 構成ファイルが C:\root\files\... を絶対パスで参照している。
+          #   TestCode/App.config    FxXMLMSGDefinition / FxXMLSPDefinition
+          #   SimpleBatch/app.config SqlTextFilePath
+          # 無いと GetMessage が空を返し、SimpleBatch は
+          #   resource file [...] was not found
+          # で失敗する。コピーではなくジャンクションにして、実体を 1 つに保つ。
+          if (-not (Test-Path 'C:\root'))
+          {
+              New-Item -ItemType Junction -Path 'C:\root' `
+                       -Target (Join-Path $env:GITHUB_WORKSPACE 'root') | Out-Null
+          }
+
+          foreach ($p in @('C:\root\files\resource\Sql',
+                           'C:\root\files\resource\Xml\MSGDefinition.xml',
+                           'C:\root\files\resource\Xml\SPDefinition.xml'))
+          {
+              if (-not (Test-Path $p)) { throw "$p が見つかりません。" }
+          }
+          Write-Host "C:\root を配置しました。"
+
+          # 期待値は日本語環境で生成されている。runner の既定は en-US で、
+          # 「書式」と「言語」の両方がずれる。両方を合わせる必要がある。
+          #
+          # ＜CurrentCulture（書式）＞
+          #   期待 : <DATE> 0:00:00        実測 : 4/24/1977 12:00:00 AM
+          #   CompareResult.ps1 の <DATE> は \d{4}/\d{1,2}/\d{1,2} で、
+          #   1977/4/24 の形にしか一致しない。
+          #
+          # ＜CurrentUICulture（言語）＞
+          #   ここでは直せない。試して駄目だったものは BUILDING.md 9 節に記録した。
+          #     Install-Language              … ハング（run 30976630947）
+          #     Set-WinUILanguageOverride     … 言語パックの導入が前提
+          #     PreferredUILanguages を直書き … 未インストールの言語は無視される
+          #   言語に依存する 2 か所は、リポジトリ側で処理している。
+          #     GetMessage    … TestCode の構成に FxBusinessMessageCulture=ja-JP を指定
+          #     OS のメッセージ … CompareResult.ps1 で <OSMSG> に正規化
+          Set-Culture ja-JP
+
+          # Set-Culture はレジストリを書き換えるだけで、現在のセッションには反映されない。
+          # 効いたかどうかを子プロセスで確認する（UICulture は en-US のままが正常）。
+          $c = & powershell -NoProfile -Command "(Get-Culture).Name + ' / ' + (Get-UICulture).Name"
+          Write-Host ("新しいプロセスの Culture / UICulture : {0}" -f $c)
+
+      - name: Run all tests
+        shell: pwsh
+        working-directory: root/programs
+        run: .\2_RunAllTests.ps1 -OutputDir "${{ runner.temp }}\TestResults"
+
+      # ------------------------------------------------------------------
+      # 疎通（3_SmokeTest.ps1）
+      # ------------------------------------------------------------------
+      # 3_SmokeTest.ps1 はサービスの開始を自分では行わない。システムの状態を変える
+      # 操作だからで、足りない場合は対処方法を示して NG にする（AGENTS.md の線引き）。
+      # runner は使い捨てで、この判断が当てはまらないため、ここで開始する。
+      - name: Start aspnet_state
+        shell: pwsh
+        run: |
+          Start-Service aspnet_state
+          Write-Host ("aspnet_state : {0}" -f (Get-Service aspnet_state).Status)
+
+      # IIS Express は windows-latest（win25-vs2026）に同梱されている。
+      #   C:\Program Files\IIS Express\iisexpress.exe  v10.0.26013.1000
+      # 3_SmokeTest.ps1 が見るのも %ProgramFiles% 側なので、そのまま使える。
+      - name: Smoke test
+        shell: pwsh
+        working-directory: root/programs
+        run: .\3_SmokeTest.ps1 -OutputDir "${{ runner.temp }}\SmokeTest"
+
+      # 失敗時こそ中身を見たいので、常に採取する。
+      - name: Upload build logs
+        if: always()
+        uses: actions/upload-artifact@v7
+        with:
+          name: build-logs
+          path: ${{ runner.temp }}\BuildLogs
+          if-no-files-found: warn
+
+      # 期待値（HEAD 版）・ビルド ログ・再生成された実測値をまとめて採取する。
+      # 差分が出たときは、この 2 つを突き合わせて原因を切り分ける。
+      - name: Upload test results
+        if: always()
+        uses: actions/upload-artifact@v7
+        with:
+          name: test-results
+          path: |
+            ${{ runner.temp }}\TestResults
+            root/programs/CS/Frameworks/Tests/**/Result*.txt
+          if-no-files-found: warn
+
+      # 疎通は期待結果ファイルを持たないため、判定は各対象の標準出力に残る。
+      # Web 系は IIS Express の起動ログもここに入る。
+      - name: Upload smoke test logs
+        if: always()
+        uses: actions/upload-artifact@v7
+        with:
+          name: smoke-logs
+          path: ${{ runner.temp }}\SmokeTest
+          if-no-files-found: warn

.github/workflows/dependabot-retarget.yml

@@ -0,0 +1,45 @@
+# Dependabot が作成した PR のベース ブランチを deps へ振り替える。
+#
+# ＜なぜ必要か＞
+#   Dependabot のセキュリティ アップデートは、既定ブランチ（develop）にしか
+#   PR を出さない。dependabot.yml の target-branch はバージョン更新にしか
+#   効かないため、受けブランチへ向けるにはこの方法しかない。
+#
+# ＜なぜ pull_request_target か＞
+#   Dependabot が起こしたイベントでは GITHUB_TOKEN が既定で read-only になり、
+#   base の書き換えができない。pull_request_target は read-write にできる。
+#
+# ＜安全性＞
+#   pull_request_target は「ベース ブランチ側の定義」を書き込み権限付きで動かす。
+#   ここで PR のコードを checkout して実行すると、PR に任意のコードを書ける相手へ
+#   権限を渡すことになる（pwn request）。
+#   本ワークフローは checkout を行わず、gh コマンドだけを実行する。
+#   権限も pull-requests: write の 1 つだけに絞る。
+
+name: Retarget Dependabot PRs to deps
+
+on:
+  pull_request_target:
+    types: [opened]
+
+permissions:
+  pull-requests: write
+
+jobs:
+  retarget:
+    # develop 宛の Dependabot の PR だけを対象にする。
+    # base の判定を入れているのは、既に deps 宛のものを再度書き換えないため。
+    if: >-
+      github.actor == 'dependabot[bot]' &&
+      github.event.pull_request.base.ref == 'develop'
+    runs-on: ubuntu-latest
+
+    steps:
+      - name: Change base branch to deps
+        # 値は env 経由で渡す。run: に ${{ }} を直接書くと、
+        # 値の内容がシェルのコマンドとして解釈される余地が残る。
+        env:
+          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          PR_NUMBER: ${{ github.event.pull_request.number }}
+          REPO: ${{ github.repository }}
+        run: gh pr edit "$PR_NUMBER" --repo "$REPO" --base deps