fix: Claude Assistant の push が 403 になる問題を回避

[fumikito]

問題

@claude に修正を頼むと、Claude はローカルでコミットまではしますが、push が 403 で失敗します。

Permission to hametuha/chiramise.git denied to github-actions[bot]

（実例: hametuha/chiramise#8、run）

原因

• actions/checkout@v6 は GITHUB_TOKEN の認証ヘッダーを includeIf.gitdir: 経由の別ファイルに保存します。
• claude-code-action は include.path しか見ないので、このヘッダーを消せません。ログには No existing authentication headers to remove と出ています。
• その結果、claude-code-action がリモート URL に入れた App トークンより、ヘッダーの GITHUB_TOKEN が優先されます。呼び出し側が contents: read だと、push が拒否されます。
• 上流ではまだ直っていません: Checkout credential cleanup is still a no-op: checkout persists via includeIf.gitdir, not include.path (follow-up to #1510) anthropics/claude-code-action#1721（open）

contents: write を呼び出し側に足しても push は通るようになります。ただしその場合は GITHUB_TOKEN による push になり、CI や自動レビューが起動しません。そのため、この方法は採りませんでした。

修正

1. checkout を persist-credentials: false にして、認証ヘッダーを残さないようにします。
2. 代わりに、リモート URL に GITHUB_TOKEN を入れます。claude-code-action はブランチ準備の git fetch を認証設定より前に実行するため、private リポジトリでも fetch できるようにする必要があります（claude-code-action fails when actions/checkout uses persist-credentials: false anthropics/claude-code-action#1236）。
3. このリモート URL は、claude-code-action の configureGitAuth が App トークン入りの URL で上書きします。そのため push は Claude アプリとして行われ、CI や自動レビューも起動します。

影響

• 変わるのは claude-assistant.yml だけです。inputs は変えていません。
• review、triage など、push しないワークフローには手を入れていません。

確認

issue_comment で起動するワークフローは、main にある定義で動きます。そのため、マージ後に hametuha/chiramise#8 で @claude に修正を頼み直し、次の2点を確認します。

• claude/issue-8-* ブランチが push されること
• push の主体が claude[bot] であること

actionlint は問題ありませんでした。

🤖 Generated with Claude Code