my-next-app/
├── .github/
│   ├── workflows/ci.yml       # SHA固定済みCI
│   └── dependabot.yml         # 週次更新 + クールダウン設定
├── .vscode/
│   └── settings.json          # 保存時自動フォーマット
├── src/
│   └── app/                   # App Router
├── .oxlintrc.json             # Oxlint設定
├── .npmrc                     # pnpmセキュリティ設定
├── pnpm-workspace.yaml
├── tsconfig.json              # TypeScript 7.0設定
└── package.json

npm install -g pnpm@latest

{
  "devEngines": {
    "runtime": {
      "name": "node",
      "version": ">=22.0.0",
      "onFail": "error"
    },
    "packageManager": {
      "name": "pnpm",
      "version": ">=11.0.0",
      "onFail": "error"
    }
  }
}

pnpm create next-app@latest my-next-app

rm -rf node_modules package-lock.json yarn.lock
pnpm install

# .npmrc
minimumReleaseAge=7 days
minimumReleaseAgeExcludePrune=true

# .npmrc
allowBuilds[]=sharp
allowBuilds[]=esbuild
allowBuilds[]=@next/swc
allowBuilds[]=lightningcss

# .npmrc

# --- サプライチェーンセキュリティ ---
# 公開から7日未満のパッケージを採用しない（タイポスクワッティング対策）
minimumReleaseAge=7 days
minimumReleaseAgeExcludePrune=true

# ビルドスクリプトの実行を許可するパッケージを明示
allowBuilds[]=sharp
allowBuilds[]=esbuild
allowBuilds[]=@next/swc
allowBuilds[]=lightningcss

# 異常な依存パスをブロック（v11デフォルトON、明示的に記載）
blockExoticSubdeps=true

# バージョンを ^ なしで固定する（lockfileと合わせて完全固定）
save-exact=true

# --- パフォーマンス ---
# ストアの共有を有効化（ディスク節約）
shamefully-hoist=false

# pnpm-workspace.yaml
packages:
  - "."

# カタログ機能でバージョンを一元管理（モノレポ対応）
catalog:
  react: "19.1.0"
  react-dom: "19.1.0"
  next: "16.0.0"
  typescript: "7.0.2"

pnpm add -D typescript@7

pnpm tsc --noEmit

{
  "compilerOptions": {
    // --- 基本設定 ---
    "target": "ES2022",
    "lib": ["ES2022", "DOM", "DOM.Iterable"],
    "module": "ESNext",
    "moduleResolution": "bundler",
    "jsx": "preserve",

    // --- 厳格モード（TS 7.0 でデフォルト化） ---
    "strict": true,

    // --- 追加の型安全設定 ---
    // サイドエフェクトインポートの未チェックを防ぐ（TS 7.0 デフォルト化）
    "noUncheckedSideEffectImports": true,
    // 未使用の変数・パラメータをエラーにする
    "noUnusedLocals": true,
    "noUnusedParameters": true,
    // import type を明示的に書くことを強制する
    "verbatimModuleSyntax": true,

    // --- Node.js ネイティブ TypeScript 実行に備える ---
    // enum・名前空間など「コードを生成する構文」をエラーにする
    // Node.js が --experimental-strip-types で直接実行する際に必要
    "erasableSyntaxOnly": true,

    // --- 並列型チェックの高速化 ---
    // 宣言ファイル生成をコンパイラに任せず並列で行う
    "isolatedDeclarations": true,

    // --- パス解決 ---
    "baseUrl": ".",
    "paths": {
      "@/*": ["./src/*"]
    },

    // --- 出力設定 ---
    "outDir": ".next",
    "noEmit": true,
    "incremental": true,
    "skipLibCheck": true,
    "esModuleInterop": true,
    "allowSyntheticDefaultImports": true,
    "resolveJsonModule": true
  },
  "include": ["next-env.d.ts", "**/*.ts", "**/*.tsx", ".next/types/**/*.ts"],
  "exclude": ["node_modules"]
}

npx @oxlint/migrate

pnpm add -D eslint-plugin-oxlint

// eslint.config.mjs
import oxlint from "eslint-plugin-oxlint";

export default [
  // ... 他の設定
  ...oxlint.buildFromOxlintConfigFile("./.oxlintrc.json"),
];

{
  "$schema": "https://raw.githubusercontent.com/oxc-project/oxc/main/npm/oxlint/configuration_schema.json",
  "plugins": ["react", "react-hooks", "next", "typescript", "jsx-a11y", "import"],
  "env": {
    "browser": true,
    "es2022": true,
    "node": true
  },
  "rules": {
    // TypeScript
    "typescript/no-explicit-any": "warn",
    "typescript/consistent-type-imports": "error",

    // React
    "react/react-in-jsx-scope": "off",
    "react-hooks/rules-of-hooks": "error",
    "react-hooks/exhaustive-deps": "warn",

    // Next.js
    "next/no-html-link-for-pages": "error",

    // アクセシビリティ
    "jsx-a11y/alt-text": "error",

    // import
    "import/no-duplicates": "error"
  },
  "overrides": [
    {
      "files": ["**/*.test.ts", "**/*.test.tsx"],
      "rules": {
        "typescript/no-explicit-any": "off"
      }
    }
  ]
}

pnpm add -D @oxc-project/oxfmt

npx oxfmt --migrate=prettier

// .vscode/settings.json
{
  // デフォルトフォーマッターを Oxfmt に設定
  "editor.defaultFormatter": "oxc.oxc-vscode",
  // 保存時に自動フォーマット
  "editor.formatOnSave": true,
  // 保存時に Oxlint の自動修正も実行
  "editor.codeActionsOnSave": {
    "source.fixAll.oxc": "explicit"
  },
  // TypeScript / TSX ファイルで Oxfmt を使用
  "[typescript]": {
    "editor.defaultFormatter": "oxc.oxc-vscode"
  },
  "[typescriptreact]": {
    "editor.defaultFormatter": "oxc.oxc-vscode"
  },
  "[javascript]": {
    "editor.defaultFormatter": "oxc.oxc-vscode"
  },
  "[json]": {
    "editor.defaultFormatter": "oxc.oxc-vscode"
  }
}

/* src/app/globals.css */
@import "tailwindcss";

/* カスタムテーマ設定（v4 スタイル） */
@theme {
  --color-primary: oklch(0.5 0.2 250);
  --font-sans: "Inter", sans-serif;
}

// src/components/Button.tsx
type ButtonProps = {
  children: React.ReactNode;
  variant?: "primary" | "secondary";
  onClick?: () => void;
};

export function Button({
  children,
  variant = "primary",
  onClick,
}: ButtonProps) {
  return (
    <button
      type="button"
      onClick={onClick}
      // Oxfmt が Tailwind クラスを自動整序します
      className={
        variant === "primary"
          ? "rounded-md bg-blue-600 px-4 py-2 text-sm font-medium text-white hover:bg-blue-700 focus:outline-none focus:ring-2 focus:ring-blue-500 focus:ring-offset-2"
          : "rounded-md border border-gray-300 bg-white px-4 py-2 text-sm font-medium text-gray-700 hover:bg-gray-50"
      }
    >
      {children}
    </button>
  );
}

# ❌ タグ指定（セキュリティ的に不十分）
uses: actions/checkout@v4

# ✅ SHA 固定（2026年の最低水準）
uses: actions/checkout@11bd71901bbe5b1630ceea73d27597364c9af683 # v4.2.2

# pinact のインストールと実行
go install github.com/suzuki-shunsuke/pinact/cmd/pinact@latest
pinact run

name: CI

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

# 最小権限の原則：デフォルトで読み取り専用
permissions:
  contents: read

jobs:
  ci:
    name: Type Check / Lint / Format / Build
    runs-on: ubuntu-latest
    timeout-minutes: 15

    steps:
      # SHA固定（v4.2.2）
      - uses: actions/checkout@11bd71901bbe5b1630ceea73d27597364c9af683

      # pnpm のセットアップ（SHA固定済み）
      - uses: pnpm/action-setup@a3252b7d380b931fa2ef01cb1a3bc9ad3b3b94ae # v4.1.0
        with:
          version: 11

      # Node.js のセットアップ（pnpm キャッシュ込み）
      - uses: actions/setup-node@39370e3970a6d050c480ffad4ff0ed4d3fdee5af # v4.1.0
        with:
          node-version: "22"
          cache: "pnpm"

      - name: Install dependencies
        run: pnpm install --frozen-lockfile

      - name: Type check
        run: pnpm tsc --noEmit

      - name: Lint (Oxlint)
        run: pnpm oxlint .

      - name: Lint (ESLint fallback)
        run: pnpm eslint .

      - name: Format check (Oxfmt)
        run: pnpm oxfmt --check .

      - name: Build
        run: pnpm build

# actionlint のインストール
go install github.com/rhysd/actionlint/cmd/actionlint@latest

# ワークフローの静的解析
actionlint

pip install zizmor
zizmor .github/workflows/

version: 2

updates:
  # npm（pnpm）の依存更新
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "monday"
      time: "09:00"
      timezone: "Asia/Tokyo"

    # pnpm の minimumReleaseAge=7 days と同期
    cooldown:
      default-days: 7
      # セキュリティアップデートは待機なし
      security-days: 0

    # 更新 PR を種類別にまとめて週1回（レビュー負荷を下げる）
    groups:
      dependencies:
        patterns:
          - "*"
        # セキュリティアップデートは grouping 対象外
        exclude-patterns:
          - "!"
        update-types:
          - "minor"
          - "patch"

    # PR の上限数
    open-pull-requests-limit: 10

    # ラベルの自動付与
    labels:
      - "dependencies"

  # GitHub Actions の更新（SHA固定済み Actions の更新）
  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "monday"
      time: "09:00"
      timezone: "Asia/Tokyo"

    # SHA固定済み Actions を更新するために必要
    enable-beta-ecosystems: true

    cooldown:
      default-days: 7
      security-days: 0

    groups:
      github-actions:
        patterns:
          - "*"

    labels:
      - "github-actions"
      - "dependencies"

# 依存関係のインストール
pnpm install

# 型チェック
pnpm tsc --noEmit

# Lint（Oxlint → ESLint の順）
pnpm oxlint .
pnpm eslint .

# フォーマットチェック（差分がなければ OK）
pnpm oxfmt --check .

# フォーマットの適用（初回移行時など）
pnpm oxfmt .

# ビルド
pnpm build

# 開発サーバー起動
pnpm dev

// src/app/page.tsx に追記
const unusedVariable = "これは使われません"; // noUnusedLocals でエラー

error TS6133: 'unusedVariable' is declared but its value is never read.

my-next-app/
├── .github/
│   ├── workflows/
│   │   └── ci.yml             # SHA固定済み CI（型チェック/Lint/Format/Build）
│   └── dependabot.yml         # 週次更新 + cooldown 7日設定
├── .vscode/
│   └── settings.json          # 保存時 Oxfmt 自動フォーマット
├── src/
│   ├── app/
│   │   ├── globals.css        # Tailwind CSS v4 設定
│   │   ├── layout.tsx
│   │   └── page.tsx
│   └── components/
│       └── Button.tsx         # サンプルコンポーネント
├── .npmrc                     # pnpm セキュリティ設定
├── .oxlintrc.json             # Oxlint 設定
├── eslint.config.mjs          # ESLint フォールバック（oxlint-plugin 込み）
├── next.config.ts
├── package.json               # devEngines 設定込み
├── pnpm-workspace.yaml        # catalog でバージョン一元管理
└── tsconfig.json              # TypeScript 7.0 推奨設定