ビルド監査

ビルドマトリクス

5 ターゲットの GitHub Actions マトリクス、各ターゲット ネイティブ runner：

CI の 2 ステージ

1. build-and-test.yml — main への プッシュと各 PR で走る。全マトリクス構築 + smoke + dist/ を 7 日間保持するアーティファクトにアップロード。PR ゲートの 役割。
2. release.yml — タグプッシュ （v*）と workflow_dispatch で トリガー。最終的にソフトプロップスで GitHub Release を発行。

スモークテスト方針

scripts/smoke.sh：

1. バージョン確認 — 構築したばかりの lha の バージョンバナーが一致するか。
2. CLI デコード round-trip — upstream/lhasa/test/archives/ の最初の .lzh / .lzs / .pma に対して lha l と lha xq を実行。 バイナリが liblhasa を end-to-end で正しく駆動することを確認。

upstream の make check は、直接は走らせない — テストドライバが . test_extract.sh を相対パス ソースしていて、musl/glibc 隔離の parallel build out-of-tree パターンで落ちる。同じアーカイブ corpus を CLI から叩くのは 等価。

依存フットプリント

vendored lhasa ツリーは外部ライブラリ依存ゼロ — zlib も libiconv も libcurl も libarchive もない。 configure.ac は C コンパイラと Libtool しか probe しない。

• Linux musl — 完全静的。同じバイナリが Alpine / Debian / Ubuntu / RHEL / Fedora / Arch で動く。
• macOS — システムの libc++ / libSystem のみ。CI は otool -L で Homebrew 経路リンクを検出したら失敗。
• Windows — MinGW 静的。VC 再配布不要。

OpenSSF Scorecard

公開 GitHub 履歴が PR で十分な厚みを持ってからバッジを有効化。 既に満たしているヒューリスティック：

• Code-Review — PR は build-and-test マトリクスを通過。
• License — MIT ラッパー、ISC アップストリーム。 どちらも /LICENSE と /NOTICE.md に。
• Token-Permissions — CI ワークフローは permissions: contents: write をトップで宣言。
• Pinned-Dependencies — GitHub Actions は major + sha にピン留め。