Go 1.26.4 への更新と依存パッケージのバージョン上げ

この PR はビルド基盤を Go 1.26.4 に切り替えると同時に、go.mod に記載された主要ライブラリのバージョンを最新に合わせています。Go 本体のバージョンと依存モジュールを一括で更新することで、ビルドの再現性と将来的な互換性を維持します。

背景

Go のマイナーバージョンはパフォーマンス改善やバグ修正が頻繁に提供されるため、CI/CD パイプラインで使用するコンテナイメージを最新に保つことが推奨されます。リポジトリは現在 Go 1.26.1 でビルドされていましたが、PR の概要にある通り Go 1.26.4 に更新することで、公式のセキュリティパッチや最適化を取り込めます。

併せて go.mod の依存バージョンも一括で更新しています。依存ライブラリは多くが数ヵ月前のリリースに固定されており、最新版への更新は脆弱性対策や新機能利用の前提となります。PR の記述は「Update deps」だけですが、実際に多数のモジュールが新バージョンに置き換えられています。

技術的な変更

Dockerfile 系列のベースイメージ行が golang:1.26.1 から golang:1.26.4 に差し替えられました。FROM golang:1.26.1 AS build → FROM golang:1.26.4 AS build、サブディレクトリの example/upstream/Dockerfile でも同様の置き換えが行われ、ビルドステップ自体は変更されていません。

go.mod の go 宣言が 1.26.1 → 1.26.4 に更新され、直接依存しているライブラリのバージョンが多数上がっています。主な変更点は以下の通りです:
- github.com/quic-go/quic-go が v0.57.1 → v0.60.0
- golang.org/x/crypto が v0.46.0 → v0.53.0
- golang.org/x/net が v0.48.0 → v0.56.0
- golang.org/x/sys が v0.39.0 → v0.46.0
- golang.org/x/text が v0.32.0 → v0.38.0
- github.com/prometheus/common が v0.67.4 → v0.69.0
- github.com/prometheus/procfs が v0.19.2 → v0.20.1
- go.yaml.in/yaml/v2 が v2.4.3 → v2.4.4

go.sum には上記新バージョンに対応するハッシュが追加され、既存の行は削除されていません。新規エントリとして github.com/quic-go/quic-go@v0.60.0、github.com/prometheus/common@v0.69.0 などが挿入され、依存解決時の検証情報が最新化されています。

設計判断

バージョン更新は最小限の差分に留められ、ビルドロジックやアプリケーションコードへの影響は意図的に排除されています。Dockerfile のベースイメージだけを変更し、他の RUN/COPY 等の指示はそのまま保持することで、ビルド環境の再現性を保ちつつ新バージョンの利点を享受できます。

go.mod の変更はバージョン番号の更新のみで、モジュールパスやインポート構造に変更はありません。これにより、既存のコードベースはコンパイルエラーやランタイム変更を起こさず、導入障壁が低い形で依存アップデートが行われました。設計上は「安全なローリングアップデート」を意図した、非破壊的なメンテナンスアプローチと言えます。

まとめ

本 PR はビルド環境を Go 1.26.4 に、依存ライブラリをそれぞれの最新安定版に切り替えることで、セキュリティとパフォーマンスの向上を図ります。変更はバージョン番号の置き換えに限定され、既存のアプリケーションロジックへの直接的影響はありません。今後も同様の手順で定期的な依存更新を行うことで、長期的な保守性を確保できます。