infra(ci): Terraform fmt + validate を PR CI に追加(creds 不要、infra/** path-gated)

[win2cot]

概要

Terraform コードの PR 時静的検証を CI に追加(AWS 認証不要)。infra 配下の terraform ファイル変更時のみ実行。markdown-lint.yml と同じ dorny/paths-filter + if: + concurrency + sticky comment 構成を踏襲。

実装内容

• terraform fmt -check -recursive(整形ゲート)
• 各 root(infra/shared/environments/dev / infra/environments/dev)で terraform init -backend=false → terraform validate
• .terraform.lock.hcl 陳腐化検知(terraform init -lockfile=readonly)
• (任意)tflint
• paths-filter は terraform ファイル限定(infra/**/*.tf / infra/**/*.hcl / infra/**/*.tfvars / 当ワークフロー)。infra/** 全体だと infra/docs/ 配下の doc-only(.md)変更でも発火するため不可。concurrency でキャンセル

受入条件

• terraform ファイル(infra/**/*.tf 等)変更 PR で fmt/validate が実行され、整形・構文エラーで fail
• terraform 非変更 PR(infra/docs/ の .md のみ含む)ではスキップ(required check の permanent pending 回避)
• sticky comment で結果表示

関連

• 親 tracker: infra(ci): Terraform CI 検証パイプライン(tracker) #382
• plan-in-CI は infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246 に内包 / IaC スキャンは別サブ
• claude-automation: 不適用(case B)

[win2cot]

実装完了 — PR #389

実装内容

.github/workflows/terraform-lint.yml を新規追加。

項目	内容
paths-filter	infra/**/*.tf / *.hcl / *.tfvars + 当ワークフロー自身。infra/docs/ の .md のみ変更では発火しない
fmt check	terraform fmt -check -recursive infra/
init + lockfile	各 root で terraform init -backend=false -lockfile=readonly(AWS 認証不要 + .terraform.lock.hcl 陳腐化検知)
validate	init 成功時のみ terraform validate -no-color
対象 root	infra/environments/dev / infra/shared/environments/dev
sticky comment	fmt / init / validate 5 行を表形式で PR に表示
concurrency	cancel-in-progress: true(markdown-lint.yml と同一構成)

関連

• PR: ci(infra): Terraform fmt / validate / lockfile CI を追加 #389