ci: base 와 충돌한 PR 에 conflict 라벨을 붙인다 (closes 1028) [base: develop]

[1hyok]

Closes #1028

무엇을 고치나

PR 이 base 와 충돌하면 그 PR 의 pull_request 워크플로가 트리거조차 되지 않는다. GitHub 이 base 와 head 를 합친 refs/pull/<N>/merge 를 만들지 못하기 때문이다. 체크가 실패하는 게 아니라 아예 생성되지 않아 no checks reported 로 비고, 저자도 리뷰어도 「아직 안 끝났나」로 읽어 최신 커밋이 미검증인 채 남는다.

머지 자체는 mergeable_state=dirty 와 required check(guard)의 pending 이 이중으로 막는다. 그래서 이 PR 이 고치는 것은 게이트가 아니라 가시성이다.

어떻게

열린 PR 전수의 mergeable 을 GraphQL 로 훑어, 충돌이면 conflict 라벨을 붙이고 해소되면 뗀다.

설계에서 의도한 결정 넷:

• pull_request 트리거를 쓰지 않는다. 그것이 바로 「트리거되지 않는」 문제의 원인이라, 이 워크플로가 같은 함정에 빠지면 안 된다.
• UNKNOWN 은 충돌로 단정하지 않는다. GitHub 이 mergeable 을 비동기로 계산하고 첫 응답은 대개 UNKNOWN 이다. 2·4초 간격으로 3회까지 재조회하고, 그래도 미확정이면 라벨을 건드리지 않는다 — 멀쩡한 PR 에 라벨이 붙는 오탐이 라벨 없음보다 나쁘다. 라벨이 이미 붙은 UNKNOWN 도 성급히 떼지 않는다.
• 안내 코멘트는 1회만. 라벨 유무로 1차, 코멘트 마커(<!-- conflict-label -->)로 2차 확인한다. 사람이 라벨을 손으로 뗐다 다시 붙어도 안내가 중복되지 않는다.
• 개별 PR 실패를 격리한다. 하나가 실패해도 나머지를 처리한 뒤 마지막에 모아서 실패시킨다.

conflict 라벨은 없으면 자동으로 만든다. 스택 PR(base 가 feat/*)도 base 가 develop 이 아닐 뿐 메커니즘이 같아 같은 규칙으로 본다.

단계적으로 켠다 — 이 PR 은 수동 실행 전용

도입 시점에 이미 충돌 PR 이 10건이라, push·schedule 을 켠 채 머지하면 첫 실행에서 라벨과 안내 코멘트가 한꺼번에 쏟아진다. 그래서 이 PR 은 workflow_dispatch 만 열어 두고, dry_run 기본값을 true 로 뒀다.

순서는 이렇게 본다.

1. 이 PR 머지 — workflow_dispatch 는 워크플로 파일이 기본 브랜치에 있어야 실행할 수 있어서, 머지가 선행돼야 한다.
2. gh workflow run conflict-label.yml -f dry_run=true 로 실제 러너 환경에서 판정 확인 — 로컬 dry-run 과 결과가 같은지, secrets.GITHUB_TOKEN 권한으로 조회가 되는지를 본다.
3. 결과가 맞으면 dry_run=false 로 한 번 돌려 라벨을 붙이고, 그다음 push·schedule 트리거를 여는 후속 PR 을 낸다.

되살릴 트리거는 워크플로 파일 주석에 그대로 남겨 뒀다.

검증

항목	결과
신규 단위 테스트	18개 통과 — 계획 수립·재조회·쓰기 경로·실패 격리·dry-run
전체 스크립트 테스트	node --test .github/scripts/*.test.mjs → 80개 통과
Repository Quality	actionlint + shellcheck 17 workflows 통과 (exit 0)

실서비스 레포 dry-run — 이 스크립트를 로컬에서 DRY_RUN=true 로 돌려 충돌 10건을 검출했고, 전부 mergeable=false · mergeable_state=dirty 로 대조 확인했다.

- 라벨 부착: 10건 — #771, #886, #925, #947, #954, #958, #961, #967, #988, #989
- 라벨 제거: 0건
- 판정 보류(UNKNOWN): 0건

수동으로 셌을 때는 7건이었는데 3건(#771·#967·#989)이 더 나왔다. 그때 UNKNOWN 이라 빠졌던 것들이고, 재조회 로직이 실제로 값을 한다는 증거다.

시각 검증 — 해당 없음. CI 스크립트와 워크플로만 바뀌어 Compose 본문·디자인 토큰·리소스 변경이 0건이다. screenshot baseline 사이클과 에뮬레이터 실측 모두 대상이 없다. Kotlin 모듈 변경이 없어 compileDebugKotlin 도 해당 없고, 대신 위 node 테스트와 actionlint 로 갈음했다.

리뷰어에게 알려둘 점

• schedule 은 기본 브랜치의 워크플로 파일로만 실행되는데, 이 레포 기본 브랜치가 develop 이라 3단계에서 트리거를 열면 바로 작동한다(main 이었다면 안 돌았다).
• 필요한 권한은 issues: write(라벨·코멘트) · pull-requests: write 이고 secrets.GITHUB_TOKEN 으로 충분하다.
• ci: PR 검증을 단일 required gate로 묶고 stale run을 자동 취소 #848(PR 검증을 단일 ci-gate 로 묶기)과 역할이 갈린다 — 충돌은 이 워크플로가 라벨로 알리고, 머지 차단은 지금처럼 pending 이 맡는다. fix(ci): 검증 3종이 base PATCH 전이를 못 잡아 검증 0건으로 머지 — branches 필터 제거 후 required check 지정 #683 이 고친 base 필터 문제와도 원인이 다르다.

[1hyok]

#847 작업(PR #1039)과 겹치는 지점이 하나 있어 알려 둡니다 — 파일 충돌은 없습니다(merge-tree 실측: 충돌 0건). 의미 쪽입니다.

#1039 가 이 저장소의 외부 uses 를 전부 40자리 commit SHA 로 고정하고, supply-chain-policy.test.mjs 정책으로 그것을 강제합니다. 그런데 이 PR 이 새로 만드는 conflict-label.yml 은 부동 참조를 씁니다.

.github/workflows/conflict-label.yml:44  uses: actions/checkout@v7

둘 다 develop 에 들어가면 나중에 들어간 쪽 이후로 Unit Test 가 빨개집니다 (node --test .github/scripts/*.test.mjs 안의 every third-party action is pinned to an immutable commit SHA).

고치는 것은 한 줄입니다. 이 PR 이 먼저 머지될 것 같으면 여기서 미리 바꿔 두셔도 됩니다.

uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1

(# v7.0.1 주석도 정책이 요구합니다 — SHA 만 있으면 사람이 못 읽고 Dependabot 갱신 대조도 안 되기 때문입니다.)

#1039 가 먼저 들어가면 제가 이쪽을 맞추겠습니다. 순서만 알려 주세요.

한 가지 더 — conflict-label.yml 은 workflow_dispatch 전용이라 #848(PR #1038)이 만드는 ci-gate 집계 대상이 아닙니다. 그쪽은 PR 검증 4종(lint·unit-test·screenshot·repository-quality)만 묶으므로 이 PR 과 부딪히지 않습니다.

[github-actions]

🚀 QA 배포 권장

• 위험도: high
• 포함 이슈: fix(mindrecord): 임시저장 선택 삭제 실패가 무시되고 완료 처리됨 #442, refactor(app): 홈·수신자 홈 화면 feature 모듈 이전 — app 잔존 presentation 정리 #546, fix(mindrecord): 홈 MEMORIES 카드·추억 공간 화면이 고정 더미 — 실데이터 미연동 #559, fix(mindrecord): 데일리질문 생성·수정 응답의 userDailyQuestionId 를 BaseResponse<Unit> 으로 버림 #573, fix(mindrecord): 주간리포트 상단 카운트와 요약 기록일수 불일치 — diaryAmount 는 1인데 week[] 에 미포함 #590, fix(mindrecord): 데일리질문 목록 상단 '오늘의 추천 질문' 영역 미구현 — 조회한 todayQuestion 을 화면이 소비하지 않음 #592, refactor(afternote): 수신자 흐름 58개 파일을 feature:receiver 로 이전 — 애프터노트 모듈이 타 도메인 열람 관문 소유 #615, fix(mindrecord): 홈 TODAY'S QUESTION 카드 '데일리질문 답변하기' 무동작 — 카드 데이터는 정상 #627, fix(mindrecord): data 계층 runCatching 이 CancellationException 을 Result 로 소비 — 취소 전파 보존 #670, fix(mindrecord): 화면 배경이 시안 #FAFAFA 대신 Material3 기본 surface #FEF7FF 로 렌더 — 탭 간 배경 불일치 #691, fix(mindrecord): 보기 스위치·캘린더 탐색 상태가 콘텐츠와 불일치 #724, fix(mindrecord): 주간리포트 주차 드롭다운이 5개로 끝나 시안의 추가 이력·스크롤 미노출 #729, fix(mindrecord): 주간리포트 요약 문구 공백 소실 — '이번 주,이름님은N일의…'로 붙어 표시 #732, fix(mindrecord): 주간리포트 캘린더가 감정 이모티콘과 점을 함께 표시 — 시안·디자이너 정의는 배타적 #749, fix(mindrecord): 주간리포트 데일리질문 날짜 파싱 실패가 오늘 날짜로 무음 폴백 — 틀린 날짜를 정상처럼 표시 #751, fix(mindrecord): 일기 날짜 선택 제목이 '발송 날짜' — 시안은 '기록 날짜'로 수정됨 #760, fix(mindrecord): 작성 툴바 '임시저장' 카운트가 항상 0 — 두 작성 화면 모두 draftCount 미전달 #769, refactor(mindrecord): DTO 기본값·불필요 nullable 제거 — 누락 계약을 정상값으로 은폐 #789, 로그아웃 시 로컬 저장소 3개가 지워지지 않음 — DataStore 수명(scope) 계약 도입 #912, chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921, NavigationDebugLogger 삭제 — 역할 끝난 일회성 디버그 프로브 #927, core:startup 모듈 삭제 — Initializer 2개를 app 으로 이동 #929, core:di 모듈 삭제 — 바인딩을 구현 옆으로 옮기고 repository impl 을 internal 로 #930, AuthorReceiverRepository 가 동작하지 않음 — 에디터 수신자 목록이 항상 빈 리스트 #935, develop androidTest 컴파일 실패 44건 — 배치 머지 API 드리프트가 미검증 착륙, 컴파일 게이트 부재 #936, 추모 미디어 업로드 경로 통합 — Outcome 타입 제거, 사진·영상 중복 구현 1개로 #938, fix(core): presigned URL 요청에 필수 contentLength 가 빠져 이미지 업로드가 전부 실패 #950, fix(mindrecord): 수신자 데일리질문 isDraft 를 파싱하지 않고 false 하드코딩 — draft 노출 방어가 무효 #956, fix(build): androidx-compose-material3 선언 버전과 Gradle 해석 버전을 일치시킨다 #973, fix(build): coroutines-core 선언 버전과 Gradle 해석 버전을 일치시킨다 #974, fix(build): io.netty:netty-codec 보안 권고 대응 필요 #975, fix(build): io.netty:netty-codec-http 보안 권고 대응 필요 #976, fix(build): io.netty:netty-codec-http2 보안 권고 대응 필요 #977, fix(build): io.netty:netty-common 보안 권고 대응 필요 #978, fix(build): io.netty:netty-handler 보안 권고 대응 필요 #979, fix(build): io.netty:netty-handler-proxy 보안 권고 대응 필요 #980, fix(build): org.apache.commons:commons-lang3 보안 권고 대응 필요 #981, fix(build): org.bitbucket.b_c:jose4j 보안 권고 대응 필요 #982, fix(build): org.bouncycastle:bcpkix-jdk18on 보안 권고 대응 필요 #983, fix(build): org.bouncycastle:bcprov-jdk18on 보안 권고 대응 필요 #984, fix(build): org.jdom:jdom2 보안 권고 대응 필요 #985, fix(ci): 릴리스·WIF canary 배포가 같은 Firebase 앱에 동시 업로드 가능 — concurrency group 분리 #995, perf(ci): PR 검증 4개 job이 같은 debug variant 를 각자 컴파일 — build cache 가 전역 off #996, chore(ci): 실서비스 secret workflow 3종의 검증·decode 블록 3변종 중복 — 공유 composite 로 통합 #997, chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009, develop androidTest 컴파일 실패 21건 — #936 후속, 게이트 착륙 전에 갈린 도메인 계약 5건 #1022, fix(ci): CodeQL 빌드 스텝이 :app:mergeExtDexDebug 에서 OOM — 산발적 실패로 보안 경고와 구분 불가 #1023, fix(ci): base 와 충돌한 PR 은 pull_request CI 가 트리거되지 않아 최신 커밋이 미검증으로 방치 — 충돌 자동 감지·라벨 필요 #1028
• 판단 근거: 고위험 변경이 포함됐습니다: .github/workflows/release-distribution.yml, PR fix(ci): 릴리스·WIF canary 가 같은 Firebase 앱에 동시 업로드 가능 (closes 995) [base: develop] #1001, PR chore(ci): 실서비스 secret workflow 3종의 검증·decode 3변종을 composite 로 통합 (closes 997) [base: develop] #1002, PR [fix] #627 홈 TODAY'S QUESTION 답변 CTA 를 작성 화면에 연결한다 #894. 다른 변경을 기다리지 않고 QA 배포합니다.

QA 포인트

• fix(ci): base 와 충돌한 PR 은 pull_request CI 가 트리거되지 않아 최신 커밋이 미검증으로 방치 — 충돌 자동 감지·라벨 필요 #1028 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(app): 홈·수신자 홈 화면 feature 모듈 이전 — app 잔존 presentation 정리 #546 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(afternote): 수신자 흐름 58개 파일을 feature:receiver 로 이전 — 애프터노트 모듈이 타 도메인 열람 관문 소유 #615 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 보기 스위치·캘린더 탐색 상태가 콘텐츠와 불일치 #724 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• perf(ci): PR 검증 4개 job이 같은 debug variant 를 각자 컴파일 — build cache 가 전역 off #996 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(ci): 릴리스·WIF canary 배포가 같은 Firebase 앱에 동시 업로드 가능 — concurrency group 분리 #995 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• chore(ci): 실서비스 secret workflow 3종의 검증·decode 블록 3변종 중복 — 공유 composite 로 통합 #997 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 홈 TODAY'S QUESTION 카드 '데일리질문 답변하기' 무동작 — 카드 데이터는 정상 #627 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): data 계층 runCatching 이 CancellationException 을 Result 로 소비 — 취소 전파 보존 #670 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 작성 툴바 '임시저장' 카운트가 항상 0 — 두 작성 화면 모두 draftCount 미전달 #769 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 화면 배경이 시안 #FAFAFA 대신 Material3 기본 surface #FEF7FF 로 렌더 — 탭 간 배경 불일치 #691 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 요약 문구 공백 소실 — '이번 주,이름님은N일의…'로 붙어 표시 #732 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 데일리질문 목록 상단 '오늘의 추천 질문' 영역 미구현 — 조회한 todayQuestion 을 화면이 소비하지 않음 #592 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 홈 MEMORIES 카드·추억 공간 화면이 고정 더미 — 실데이터 미연동 #559 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 캘린더가 감정 이모티콘과 점을 함께 표시 — 시안·디자이너 정의는 배타적 #749 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 상단 카운트와 요약 기록일수 불일치 — diaryAmount 는 1인데 week[] 에 미포함 #590 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 임시저장 선택 삭제 실패가 무시되고 완료 처리됨 #442 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 일기 날짜 선택 제목이 '발송 날짜' — 시안은 '기록 날짜'로 수정됨 #760 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(core): presigned URL 요청에 필수 contentLength 가 빠져 이미지 업로드가 전부 실패 #950 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(mindrecord): DTO 기본값·불필요 nullable 제거 — 누락 계약을 정상값으로 은폐 #789 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 수신자 데일리질문 isDraft 를 파싱하지 않고 false 하드코딩 — draft 노출 방어가 무효 #956 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 주차 드롭다운이 5개로 끝나 시안의 추가 이력·스크롤 미노출 #729 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 데일리질문 생성·수정 응답의 userDailyQuestionId 를 BaseResponse<Unit> 으로 버림 #573 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 데일리질문 날짜 파싱 실패가 오늘 날짜로 무음 폴백 — 틀린 날짜를 정상처럼 표시 #751 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• develop androidTest 컴파일 실패 44건 — 배치 머지 API 드리프트가 미검증 착륙, 컴파일 게이트 부재 #936 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• 로그아웃 시 로컬 저장소 3개가 지워지지 않음 — DataStore 수명(scope) 계약 도입 #912 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.bouncycastle:bcpkix-jdk18on 보안 권고 대응 필요 #983 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.bouncycastle:bcprov-jdk18on 보안 권고 대응 필요 #984 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• NavigationDebugLogger 삭제 — 역할 끝난 일회성 디버그 프로브 #927 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• core:startup 모듈 삭제 — Initializer 2개를 app 으로 이동 #929 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• 추모 미디어 업로드 경로 통합 — Outcome 타입 제거, 사진·영상 중복 구현 1개로 #938 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): androidx-compose-material3 선언 버전과 Gradle 해석 버전을 일치시킨다 #973 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): coroutines-core 선언 버전과 Gradle 해석 버전을 일치시킨다 #974 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-codec 보안 권고 대응 필요 #975 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-codec-http 보안 권고 대응 필요 #976 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-codec-http2 보안 권고 대응 필요 #977 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-common 보안 권고 대응 필요 #978 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-handler 보안 권고 대응 필요 #979 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-handler-proxy 보안 권고 대응 필요 #980 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.apache.commons:commons-lang3 보안 권고 대응 필요 #981 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.bitbucket.b_c:jose4j 보안 권고 대응 필요 #982 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.jdom:jdom2 보안 권고 대응 필요 #985 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• core:di 모듈 삭제 — 바인딩을 구현 옆으로 옮기고 repository impl 을 internal 로 #930 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• AuthorReceiverRepository 가 동작하지 않음 — 에디터 수신자 목록이 항상 빈 리스트 #935 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• develop androidTest 컴파일 실패 21건 — #936 후속, 게이트 착륙 전에 갈린 도메인 계약 5건 #1022 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(ci): CodeQL 빌드 스텝이 :app:mergeExtDexDebug 에서 OOM — 산발적 실패로 보안 경고와 구분 불가 #1023 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인

이 판단은 배포를 자동 실행하지 않습니다. deploy일 때 Release Distribution을 수동 실행하세요.

[1hyok]

머지 순서가 이쪽이 먼저 나서, 예고한 대로 #1039 에서 맞췄습니다 — 이 PR 에서 하실 일은 없습니다.

.github/workflows/conflict-label.yml:44
- uses: actions/checkout@v7
+ uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1

#1039 기준 미고정 외부 uses 0건, node --test .github/scripts/*.test.mjs 109/109 통과입니다.