security(ci): Dependency Review 를 필수 체크로 건다 #2258

작업 유형

security — 보안 취약점·권한·자격·공급망 대응

주 담당 모듈

platform — CI·빌드·릴리스·저장소 운영

개요

Dependency Review(Review dependency changes)는 새로 들어오는 high 이상 취약 의존성을 잡는 게이트인데, develop 룰셋의 필수 체크가 아닙니다. 실패해도 머지 버튼이 열려 있어 빨간불을 넘기는 습관만 남습니다.

필수로 걸 수 없는 이유는 워크플로 구조입니다. dependency-review.yml 이 의존성 파일 paths 필터로만 돌기 때문에, 필수로 넣으면 소스만 고친 PR 은 체크가 생기지 않아 대기 상태로 막힙니다. 룰셋 이력상 2026-08-24 23:22 에 필수로 넣었다가 08-25 00:06 에 뺐고, 같은 시각 #1009 correlator 오탐이 develop base PR 전체를 막고 있었습니다.

그 뒤 알려진 오탐 원인 셋(#1009 correlator, #1063 main 기준선, #2185 스택 부모 기준선)은 모두 고쳐졌습니다. 다른 필수 체크와 같은 구조로 옮겨 필수로 겁니다.

• Repository Quality 가 PR 파일 API 로 이미 하는 완전한 변경 분류에 의존성 입력 판정을 더한다. 조회가 실패하면 검사하는 쪽으로 닫는다.
• pr-validation.yml 이 Dependency Review 를 reusable workflow 로 매 PR 부르고, 의존성 입력이 없으면 job 안에서 바로 통과한다. check 이름은 모든 PR 에 생긴다.
• merge group 과 bridge dispatch 에는 비교할 PR 스냅샷이 없으므로 검사를 건너뛰고 그 사유를 남긴다. 같은 head 의 PR 검사가 큐 진입 전 필수다.
• 머지 뒤 required-checks (develop) 룰셋에 새 context 를 추가한다.

완료 조건

• 소스만 고친 PR 에도 Review dependency changes check 가 생기고 곧바로 통과한다.
• 의존성 입력을 고친 PR 에서는 지금과 같은 정책(high 이상, runtime·development·unknown 스코프)으로 검사한다.
• 분류가 실패하면 검사를 건너뛰지 않는다.
• 정책 테스트(supply-chain-policy, pr-gate-policy)가 새 구조와 required context 이름을 고정한다.
• develop 룰셋 필수 체크에 들어가 있다.

참고

• 오탐 이력: chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009, 릴리스 PR 의 dependency-review 가 의존성 903건 전량을 신규 도입으로 오탐 — main 스냅샷 미제출 #1063, chore(ci): dependency-review 가 head 스냅샷 제출을 못 기다림 — 2단 파이프라인 경쟁 조건으로 산발 실패 #1081, fix(ci): 소스 변경만 있는 스택 부모의 의존성 기준선 생성 #2185
• paths 필터 전환: ci(dependency-review): 변경 경로에서만 graph workflow를 실행한다 #1227, 그 전의 runner 내부 판정: ci(dependency-review): 의존성 입력 변경 시에만 PR 스냅샷을 생성한다 #1212
• 발견 계기: refactor(setting): 수신자 저장 정책을 UseCase로 분리 (#1691) #2124 의 Dependency Review 실패(fix(ci): 소스 변경만 있는 스택 부모의 의존성 기준선 생성 (#2185) #2186 이전 실행이 남은 오탐)