スクリプトインジェクションを防ぐため、ユーザー入力をrunコマンド内で直接展開せず、どのように扱うべきか。

入力を${{ inputs.xxx }}で直接シェルに埋め込むとインジェクションの危険があるため、env: INPUT: ${{ inputs.xxx }}のように環境変数経由で参照するのが安全である。