おはようございます！ zenncast、MCのマイクです。今日は2026年10月31日、土曜日。朝7時になりました。10月も最終日ですね。今日もZennでトレンドの記事から、気になる話題を一緒にチェックしていきましょう！
今日は、GitHub Actionsの安全対策から、AIが働くリモート開発環境、インフラ運用の見直し、wasmの新しいインターフェース、そしてExpoアプリのDuo対応まで、5本の記事をご紹介します。
....
まず1本目は、GitHub Actionsのバージョン固定と、安全対策についてです。
Workflowで使うActionに、細かなバージョン番号まで指定しているから安心。そう思っている方もいらっしゃるかもしれません。でも、バージョンタグは、あとから別のコードに付け替えられる場合があるんです。つまり、細かい番号まで指定しても、改ざんされたコードの実行を防げるとは限らない、というお話です。
対策は、完全なコミットSHAで実行するコードを固定すること。あるいは、actions.lockを使う方法があります。こちらの特徴は、指定したActionそのものだけでなく、そのActionが内部で使っている別のActionまで固定できることです。見えている依存先の、さらに先まで押さえられるわけですね。
導入は、GitHub CLIから公式拡張機能のgithub/gh-actions-lockをインストールして、gh actions-lockを実行する流れです。これでロックファイルを生成できます。
更新するときは、まずリリース内容の安全性を確認します。そのうえでWorkflowのバージョン指定を変更し、もう一度gh actions-lockを実行して、ロックファイルも更新します。ここを忘れると、エラーで実行が止まる仕組みになっています。
バージョン名を指定することと、実際に動くコードを固定することは別なんですね。いつものWorkflowを見直すきっかけになりそうです。
....
続いて2本目は、LayerXのAi Workforce事業部が内製した、リモート開発環境のyoroです。
yoroでは、Slackや手元の開発ツールから作業を依頼すると、本人専用のクラウド環境でClaude CodeやCodexが動きます。そして、PCを閉じても、実装からPRの作成まで進めてくれるんです。
不具合の修正や、PRの自動レビューにも対応しています。さらに、作業途中で、まだコミットしていない変更も引き継げるとのこと。手元で進めていた作業を、続きからお願いできるのは便利そうですよね。
ただ、人の許可を毎回待たずに動くとなると、安全面の設計が大切です。そこでyoroでは、環境ごとの隔離、通信先の制限、そして環境の外側から動作を記録する仕組みを組み合わせています。
社内ツールと自由につなげられることも特徴ですが、それで課題がすべて解決したわけではありません。たとえば、許可した通信先に情報が流出する可能性などは残っています。そのため、顧客の機密情報を扱う作業は、まだ任せていないそうです。
PCを閉じても仕事が進む便利さと、どこまで任せるかという線引き。その両方が伝わってくる事例ですね。
....
3本目は、攻撃される入口と管理の手間を減らす、インフラ構成や運用の見直しについてです。
攻撃や脆弱性の状況が変わっていくなかで、従来どおりの構成や運用を続けていると、管理者の負担がさらに増えてしまう恐れがあります。そこで筆者が勧めているのは、対処を積み重ねるだけでなく、そもそもの構成を見直すことです。
具体例として挙げられているのが、SSH用ポートを閉じること。そして、OSの管理をAWSに任せる構成へ移行することです。攻撃される入口を減らしながら、自分たちで管理する範囲も小さくしていこう、という考え方ですね。
運用面では、不要な警告が増えないように見直すことも勧めています。警告がたくさん来る状態を維持するより、本当に重要な警告にきちんと対応できる状態を目指す、ということです。
今はAIを使って、移行案や修正案を作りやすくなっています。だからこそ、出てきた案をレビューし、テストを行いながら、構成の見直しを進める。そして人は、本当に重要な判断や警告への対応に集中すべきだと述べています。
忙しいから今のままで、となりがちですが、その忙しさを減らすための見直しでもあるんですね。
....
続いて4本目は、Linuxの機能をwasmから使うためのインターフェース、WALIの提案です。
WALIが目指しているのは、Linuxの機能を、ほぼそのままwasmから使えるようにすることです。WASIでは対応していないforkなども使えるため、bashやvimといった既存のソフトウェアを、ソースをほとんど変えずにwasmへ移せると紹介されています。
特徴のひとつは、wasmからLinuxへ処理を橋渡しする部分を、小さく実装できることです。また、LLVMやRustにも、WALIに対応するターゲットが追加されています。
一方で、使える場所や組み合わせには注意が必要です。実行環境はLinuxが前提なので、ブラウザーでそのまま使えるわけではありません。また、WASI向けのバイナリと混ぜて使うこともできません。
そして、WALIはWASIを不要にするためのものではない、という点も大切です。Linuxの機能を使うための土台を用意し、ファイルへのアクセス権限などを制限する仕組みは、その上に重ねる。そんな役割分担を提案しています。
wasmと聞いて、まずブラウザーを思い浮かべた方もいるかもしれませんが、こちらはLinuxを前提に、既存のソフトウェアを活用するためのアプローチなんですね。
....
最後の5本目は、ExpoアプリのDuo対応についてです。
使用するのは、Expo SDK 58とXcode 27.1です。記事では、2027年4月から、App Storeへの提出にiOS 27 SDK以降でのビルドと、Duoのスクリーンショットが必要になると説明しています。
対応で重要になるのが、左右の安全領域に合わせて余白を足すことです。文字やボタンが画面端の縦のバーに隠れないようにしつつ、背景や写真は端まで表示する。この使い分けがポイントになります。
さらに、Split Viewでアプリを左側に置くと、バーも左端に移ります。余白が正しく取れない場合は、画面ごとにSafeAreaProviderを置いて、安全領域を測り直す方法が紹介されています。最初に測った余白を、そのまま使い続ければよいとは限らないんですね。
開閉によって画面の幅が変わったとき、表示がきちんと更新されるかも確認が必要です。記事では、SVGのグラデーションが描き直されない問題に対して、CSSに替えることで修正しています。
もうひとつ気をつけたいのが、縦向き専用に設定していても、内側の画面では横長になることです。設定だけを見て安心せず、開閉、回転、Split Viewをシミュレーターで試して、表示崩れがないか確認することが大切です。
文字やボタンを守る余白と、画面いっぱいに見せたい背景。それぞれを意識しながら、画面の状態が変わる場面まで確認したいですね。
....
さて、今日のzenncastでは、GitHub Actionsのコードを固定する安全対策、PCを閉じても開発が進むyoro、攻撃の入口と管理負担を減らすインフラの見直し、Linuxの機能をwasmから使うWALI、そしてExpoアプリのDuo対応をご紹介しました。
便利な仕組みを取り入れながら、安全性や動作の確認も忘れない。今日はそんな共通点も感じる5本でした。
各記事の詳しい内容は、ショーノートに書いてあります。気になった話題は、ぜひそちらからチェックしてみてくださいね。番組の感想もお待ちしています。気になった記事や、皆さんの開発現場でのお話も、ぜひ聞かせてください。
この番組はSpotifyやApple Podcast、YouTubeなどで毎日配信しています。気に入っていただけたら、登録や高評価をつけてもらえるとうれしいです！
それでは、次回またお会いできるのを楽しみにしています。お相手はマイクでした。素敵な土曜日をお過ごしください！