Release: staging -> main (2026-05-05 07:29)

[github-actions]

Summary

Promotes staging into main.

• Source branch: staging
• Target branch: main
• Generated by npm run pr:promote

Included PRs

• chore(deps): bump axios from 1.15.0 to 1.16.0 in /apps/web in the npm_and_yarn group across 1 directory #679: chore(deps): bump axios from 1.15.0 to 1.16.0 in /apps/web in the npm_and_yarn group across 1 directory (@app/dependabot)
• 🎨 Palette: トースト通知のスクリーンリーダー読み上げ対応 (アクセシビリティ改善) #673: 🎨 Palette: トースト通知のスクリーンリーダー読み上げ対応 (アクセシビリティ改善) (@is0692vs)
• chore: sync main into staging #678: chore: sync main into staging (@app/github-actions)
• 🛡️ Sentinel: [HIGH] セキュリティヘッダー(secureHeaders)の追加 #674: 🛡️ Sentinel: [HIGH] セキュリティヘッダー(secureHeaders)の追加 (@is0692vs)

Compare

• https://github.com/Hiroki-org/OpenShelf/compare/main...staging?expand=1

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

1 Skipped Deployment

Project	Deployment	Actions	Updated (UTC)
open-shelf	Ignored		May 5, 2026 7:29am

[codecov]

Codecov Report

❌ Patch coverage is 91.66667% with 3 lines in your changes missing coverage. Please review.
✅ All tests successful. No failed tests found.

Files with missing lines	Patch %	Lines
apps/api/src/index.ts	91.66%	2 Missing and 1 partial ⚠️

📢 Thoughts on this report? Let us know!

[greptile-apps]

frameAncestors: ["'none'"] はフレーム埋め込みを完全拒否することを意図していますが、hono/secure-headers のデフォルト値である X-Frame-Options: SAMEORIGIN はそのまま送信されるため、設定が矛盾しています。CSP frame-ancestors をサポートしない古いブラウザでは、同一オリジンからの iframe 埋め込みが許可されてしまいます。xFrameOptions: "DENY" を明示的に指定することで一貫性が保たれます。

Suggested change

	app.use(
	"*",
	secureHeaders({
	referrerPolicy: "strict-origin-when-cross-origin",
	contentSecurityPolicy: {
	defaultSrc: ["'none'"],
	frameAncestors: ["'none'"],
	},
	}),
	);
	app.use(
	"*",
	secureHeaders({
	xFrameOptions: "DENY",
	referrerPolicy: "strict-origin-when-cross-origin",
	contentSecurityPolicy: {
	defaultSrc: ["'none'"],
	frameAncestors: ["'none'"],
	},
	}),
	);

Prompt To Fix With AI

This is a comment left during a code review.
Path: apps/api/src/index.ts
Line: 24-33

Comment:
`frameAncestors: ["'none'"]` はフレーム埋め込みを完全拒否することを意図していますが、`hono/secure-headers` のデフォルト値である `X-Frame-Options: SAMEORIGIN` はそのまま送信されるため、設定が矛盾しています。CSP `frame-ancestors` をサポートしない古いブラウザでは、同一オリジンからの iframe 埋め込みが許可されてしまいます。`xFrameOptions: "DENY"` を明示的に指定することで一貫性が保たれます。

```suggestion
app.use(
  "*",
  secureHeaders({
    xFrameOptions: "DENY",
    referrerPolicy: "strict-origin-when-cross-origin",
    contentSecurityPolicy: {
      defaultSrc: ["'none'"],
      frameAncestors: ["'none'"],
    },
  }),
);
```

How can I resolve this? If you propose a fix, please make it concise.