ci(merge-queue): GITHUB_TOKEN 으로 큐에 넣은 PR 은 merge_group CI 가 돌지 않아 60분 막힌다 #2254

작업 유형

maintenance — CI·빌드·의존성·저장소 운영 유지보수

주 담당 모듈

platform — CI·빌드·릴리스·저장소 운영

개요

viewed-auto-merge.yml(#2248)과 merge-queue-dequeue.yml 의 재투입이 GITHUB_TOKEN 으로 PR 을 큐에 넣는다. GitHub 은 GITHUB_TOKEN 으로 일으킨 이벤트로 워크플로를 띄우지 않으므로, 이렇게 넣은 merge group 에는 체크가 하나도 생기지 않는다. 큐는 check timeout(60분)까지 맨 앞을 붙잡았다가 CI_TIMEOUT 으로 빼고, 그 뒤에 쌓인 PR 들도 base 가 바뀌어 처음부터 다시 검증한다.

2026-10-05 실측(UTC):

• refactor(afternote): 미디어 URL 빈 값 정규화를 입구로 모은다 (#2207) #2208: 03:40 github-actions[bot] 이 투입. 그룹 커밋 644b289 의 check run 0개. 04:43 CI_TIMEOUT 으로 방출.
• 같은 시각 뒤에 있던 fix(core): 비밀번호 불일치 시 세션 유지 (#2222) #2229·fix(core): 로그아웃이 취소돼도 로컬 세션 정리를 끝낸다 (#2243) #2244 는 04:12·04:28 에 필수 체크 10개가 모두 초록이었는데 머지되지 않았고, 04:43 에 그룹을 새로 만들어 CI 를 다시 돌렸다.
• 04:43 방출 처리 워크플로가 refactor(afternote): 미디어 URL 빈 값 정규화를 입구로 모은다 (#2207) #2208 을 다시 넣었고(역시 github-actions[bot]), 새 그룹 커밋 2a4c07c 도 check run 0개다.
• 같은 날 본인 계정으로 넣은 refactor(core): AuthMapper 를 DTO 확장 함수로 바꿔 변환 모양을 통일한다 (#2205) #2206·fix(build): freemarker 보안 하한 2.3.35 적용 (#2204) #2209·build(receiver): receiver presentation 이 쓰지 않는 feature:afternote:domain 의존을 빼고 주석을 실제 사유로 고친다 (#2174) #2210·fix(build): 테스트 도구의 취약 의존성 버전 해소 (#2219) #2220 은 17~20분 만에 머지됐다.

수정 범위: 큐 투입과 auto-merge 예약을 사람 토큰(MERGE_QUEUE_TOKEN 시크릿, 1hyok 의 fine-grained PAT)으로 한다. 방출 처리 워크플로는 pull_request_target 브리지라 시크릿을 쓰지 않는 불변식(create-ci-config.test.mjs)을 지키고, 재투입만 workflow_dispatch 워크플로로 넘긴다. 시크릿이 없으면 GITHUB_TOKEN 으로 넣지 않고 건너뛰거나 직접 투입을 안내한다.

자식 이슈

No response

참고

• GitHub 문서: GITHUB_TOKEN 으로 일으킨 이벤트는 workflow_dispatch·repository_dispatch 를 빼고 새 워크플로를 만들지 않는다.
• 머지 전 저장소 시크릿 MERGE_QUEUE_TOKEN 이 있어야 자동 머지 예약이 다시 동작한다.