Use vim-jp bot app when running depup

[k-takata]

CI jobs for depup were not automatically executed because we used GITHUB_TOKEN.
To work around the restriction of GITHUB_TOKEN, use action/create-github-app-token to generate a token.

See:

• https://zenn.dev/suzutan/articles/how-to-use-github-apps-token-in-github-actions
• https://docs.github.com/en/issues/planning-and-tracking-with-projects/automating-your-project/automating-projects-using-actions
• https://github.com/marketplace/actions/create-github-app-token
• Use vim-jp bot app when running depup vimdoc-ja-working#1598

[k-takata]

vim-jp/vimdoc-ja-working#1598 が想定通り動作するのが確認できたので、こちらにもPRしておきます。
depupによるreviewdogの更新PRで、自動でworkflowが流れなかったのが自動で流れるようになります。

[tsuyoshicho]

Personal Token じゃなくて App Token なので大丈夫だと思いますが、外部への取り出しを含めたセキュリティ麺が気になります。

[k-takata]

セキュリティ麺が気になります。

App には Repository permissions として、以下の3項目を許可しています。

• Contents: Read and write
• Metadata (mandatory): Read-only
• Pull requests: Read and write

App は (今のところ) vim-jp/vimdoc-ja-working と vim-jp/vital.vim にインストールしてありますので、仮に悪意のある人がPRを作ってそれを気付かずにメンバーの誰かがマージしてしまったとしても、影響を受けるリポジトリはこの2つに限定されるのではないかと思います。

---

ところで、macOSのCIが全部とWindowsも2件落ちているせいでマージできないのが気になります。
macOSはpipの更新時に error: externally-managed-environment というエラーになっていますが、venvを使うか --break-system-packages オプションを指定してpipを更新すればいいのですかね。
Windowsは #810 で解消されるのでしょうか。

[tsuyoshicho]

了解です。

修正は、たぶんそうだとは思うのですが、ちょっと見れてません...

[koron]

問題はなさそう 👍

既に生成されたPATを使うよりも、より狭い権限の都度生成トークンのほうがセキュリティは向上することは疑いの余地がないので。

将来、他のPATも全廃できるともっと良さそう。