fix(ci): 재사용 워크플로를 SHA 고정 위반으로 오판정하는 감사 수정 #2126

작업 유형

bug — 버그·오동작

주 담당 모듈

platform — CI·빌드·릴리스·저장소 운영

개요

#1591의 조직 Actions 정책 감사 스크립트가 원격 재사용 워크플로의 태그 참조를 일반 액션과 같은 floating으로 분류한다. octo-org/another-repo/.github/workflows/workflow.yml@v1만 감사해도 compatible: false가 되어 정책 활성화 전 호환성 판정에 거짓 실패가 생긴다. 기준은 develop f69332d995a2e9890605b3c8075c427b2dd0cc8c의 .github/scripts/audit-org-action-pinning.mjs다.

GitHub 공식 정책은 액션의 전체 SHA 고정과 재사용 워크플로의 태그 참조를 구분한다. 현재 classifyActionReference와 summarizeAudit를 함께 호출한 회귀 검증은 기대값 compatible: true에서 실패한다.

원격 재사용 워크플로를 감사 결과와 허용 목록 후보에 계속 포함하면서 SHA 강제 위반 집계에서 구분한다. 일반 원격 액션의 태그·브랜치 참조는 계속 비호환으로 판정한다. 이 수정은 FE 감사 도구의 현재 오류를 고치며 #1591의 조직 설정 활성화와 외부 저장소 SHA 고정을 완료하지 않는다.

완료 조건:

• 원격 재사용 워크플로의 태그·브랜치·SHA 참조를 구분하고 허용 목록 후보에서 보존한다.
• 재사용 워크플로만 있는 감사는 호환이며 일반 floating 액션이 함께 있으면 비호환이다.
• 잘못된 워크플로 경로나 빈 버전이 예외로 분류되지 않도록 회귀 검증한다.
• 기존 감사 테스트와 CI 정책 검증을 통과한다.

참고

• 상위 #1591의 독립적인 감사 도구 수정이다. 조직 정책과 타 저장소 워크플로는 변경하지 않는다.