ci: main 의존성 기준선 수동 제출을 추가한다 [base: develop]

[1hyok]

📌𝘐𝘴𝘴𝘶𝘦𝘴

• Refs 릴리스 PR 의 dependency-review 가 의존성 903건 전량을 신규 도입으로 오탐 — main 스냅샷 미제출 #1063

📎𝘞𝘰𝘳𝘬 𝘋𝘦𝘴𝘤𝘳𝘪𝘱𝘵𝘪𝘰𝘯

• 기본 브랜치의 trusted dependency-submission workflow에 수동 main 기준선 제출 경로를 추가합니다.
• 수동 job은 develop 버전의 workflow에서만 실행되고, 임의 입력 없이 refs/heads/main을 고정 checkout합니다.
• snapshot ref는 refs/heads/main, SHA는 실제 checkout된 main HEAD로 고정하며 기존 correlator를 유지합니다.
• push 기반 develop/main 자동 제출과 PR artifact 제출 경로는 그대로 유지합니다.
• 정책 테스트로 고정 ref, checkout SHA 결합, immutable Action, fail-closed 설정을 회귀 방지합니다.

🧪 QA Metadata

{
  "scope": "ci-only",
  "exclusionReason": "앱 코드와 런타임 동작은 변경하지 않고 GitHub Dependency Graph의 main 기준선 생성 경로만 추가합니다.",
  "evidence": [
    {
      "kind": "test",
      "ref": "node --test .github/scripts/*.test.mjs and scripts/repository-quality.sh",
      "assertion": "수동 기준선 job이 검토된 develop workflow에서만 main을 고정 checkout하고 그 HEAD SHA로 공식 Gradle snapshot을 제출합니다.",
      "input": "workflow_dispatch로 실행되는 main dependency baseline 경로",
      "boundary": ".github/workflows/dependency-submission-trusted.yml 및 supply-chain 정책 테스트",
      "observation": "스크립트 테스트 243개와 Repository Quality가 통과했고 전체 workflow YAML 파싱 및 diff check가 통과했습니다."
    }
  ]
}

📷𝘚𝘤𝘳𝘦𝘦𝘯𝘴𝘩𝘰𝘵

• 화면 변경 없음

💬𝘛𝘰 𝘙𝘦𝘷𝘪𝘦𝘸𝘦𝘳𝘴

• PR #1273의 Dependency Review 실패는 main base snapshot 0건 때문에 기존 Netty 취약점을 신규로 오판한 것입니다.
• JSON/API payload를 재작성하지 않고 공식 gradle/actions/dependency-submission이 실제 main checkout에서 그래프를 생성하도록 합니다.
• 이 PR 머지 후 workflow를 1회 실행하고, 제출된 SHA를 확인한 뒤 #1273의 실패 job만 재실행합니다.

포함 이슈

• 릴리스 PR 의 dependency-review 가 의존성 903건 전량을 신규 도입으로 오탐 — main 스냅샷 미제출 #1063

QA 포인트

• 수동 실행 job이 develop ref 외에서는 건너뛰는지 확인합니다.
• 제출 대상 ref가 refs/heads/main, SHA가 실행 시점의 실제 main HEAD인지 확인합니다.
• PR security(ci): main Actions 참조를 SHA로 고정한다 [base: main] #1273 재실행에서 base/head snapshot 경고가 사라지고 기존 Netty 취약점이 신규 추가로 잡히지 않는지 확인합니다.