【GitHub Actions】actions/checkout には persist-credentials: false を設定するべき

GHAのセキュリティ盲点になりがち。静的解析ツール入れて防ぐのが結局一番手堅いな

いやデフォルト値を変更してほしいよね

昔同じ罠で踏み抜いて、PR ログに token が半日残った経験あり。原因は default が permissive な checkout のままで権限の最小化を後回しにしたこと…