From 383b6a8e7a4a521ff4e2d7abca10b92f28f91d7b Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?=EC=9D=BC=ED=98=81?= Date: Wed, 26 Aug 2026 05:32:52 +0900 Subject: [PATCH] =?UTF-8?q?chore(ci):=20main=20push=20=EB=8F=84=20?= =?UTF-8?q?=EC=8B=A0=EB=A2=B0=EB=90=9C=20=EC=9D=98=EC=A1=B4=EC=84=B1=20?= =?UTF-8?q?=EC=8A=A4=EB=83=85=EC=83=B7=EC=9D=84=20=EC=A0=9C=EC=B6=9C?= =?UTF-8?q?=ED=95=9C=EB=8B=A4?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 제출 job 이 push: branches: [develop] 로 한정돼 main 에는 스냅샷이 한 번도 제출된 적이 없었다. 그래서 릴리스 PR(develop → main)의 dependency-review 는 base 를 빈 것으로 보고 의존성 903 건 전량을 added 로 계산했고, 그 안에 섞인 기존 취약점(netty high 8건)이 릴리스 PR 탓으로 걸렸다. correlator 는 afternote-gradle-dependency-graph 그대로 둔다 — 이걸 job 이름을 따라 가르면 base·head 를 짝짓지 못한다(#1009 의 교훈). job id·이름이 develop 만 가리키던 것도 실체에 맞춘다. --- .github/workflows/dependency-submission.yml | 13 +++++++++---- 1 file changed, 9 insertions(+), 4 deletions(-) diff --git a/.github/workflows/dependency-submission.yml b/.github/workflows/dependency-submission.yml index b72fa681a8..db43a350af 100644 --- a/.github/workflows/dependency-submission.yml +++ b/.github/workflows/dependency-submission.yml @@ -1,10 +1,15 @@ name: Gradle Dependency Submission -# develop push 는 신뢰된 base snapshot 을 직접 제출한다. PR 은 fork 를 포함해 write token 없이 +# develop·main push 는 신뢰된 base snapshot 을 직접 제출한다. PR 은 fork 를 포함해 write token 없이 # snapshot artifact 만 만들고, default branch 의 별도 workflow_run 이 이를 제출한다. +# +# main 이 함께 있어야 하는 이유 — dependency-review 는 PR 의 base ref 스냅샷과 head 스냅샷을 +# 짝지어 «추가된 의존성» 을 계산한다. develop 만 제출하면 릴리스 PR(develop → main)의 base 가 +# 빈 것으로 보여 의존성 903 건 전량이 신규 도입으로 잡히고, 그 안에 섞인 기존 취약점이 릴리스 +# PR 탓으로 걸린다 (#1063 실측: added 903 = develop 스냅샷 고유 패키지 수). on: push: - branches: [develop] + branches: [develop, main] pull_request: concurrency: @@ -15,9 +20,9 @@ permissions: contents: read jobs: - submit-default-branch: + submit-trusted-branch: if: github.event_name == 'push' - name: Submit trusted develop dependency graph + name: Submit trusted branch dependency graph runs-on: ubuntu-latest permissions: contents: write