release.yml が auto-tag のタグでも動き、auto-tag と同時にリリースを作ろうとして競合する #278

現象

v2026.10.0 のリリースで、Auto Tag and Release の create-release ジョブが SBOM のアップロード中に失敗しました。

⚠️ Asset rox-2026.10.0.spdx.json already exists (race condition), refreshing assets and retrying once...
##[error]other side closed

失敗したジョブを再実行したところ成功し、SBOM も添付されました。

原因

• auto-tag.yml は RELEASE_PAT を使ってタグを push します。PAT による push は、GITHUB_TOKEN による push と違って他のワークフローを起動します。
• そのため release.yml（Manual Release）の push: tags: v* も起動します。release.yml のコメントには「手動で push したタグだけで動く」とありますが、実際にはそうなっていません。
• その結果、2 つのワークフローが同じリリースを作り、同じ SBOM を上げようとして競合しました。
• 履歴を見ると、v2026.7.0 や rc 版でも Manual Release は毎回動いていました。

対応方針

release.yml に、タグの tagger が github-actions[bot]（auto-tag が付ける名前）のときはスキップする判定を追加します。これまでに手動で作ったタグ（例: v2026.4.0、v2026.4.1-beta.1）は tagger が個人名なので、手動のリリースは従来どおり動きます。workflow_dispatch での再リリースにも影響はありません。

https://claude.ai/code/session_01Y29fBeRP344FME6de48wUv