Security-Review belegt ein angehobenes Submodul nicht und endet dann rot #41

Hebt ein Pull Request ein Submodul an, in opengewerk-haustechnik das Fundament unter upstream/opengewerk, steht in diff.patch nur die Zeile Subproject commit mit altem und neuem Commit. Der Checkout enthält bei einem vertrauten PR den neuen Stand des Submoduls (submodules: trusted), den Diff dazwischen kann das Review in der Sandbox aber nicht holen. Je nach Lauf schreibt es dann "kein Befund" oder trägt das Submodul als needs_follow_up ein und endet mit REVIEW_RESULT: findings, bei gleichem Inhalt. Der Status PR-Security-Review ist dann rot, obwohl nichts gefunden wurde.

Bisher so:

• Benachrichtigungen per E-Mail und Push (#126) opengewerk-haustechnik#271 (Submodul um Mailserver eines Mandanten und Push als Bausteine der Oberfläche (opengewerk-haustechnik#126) opengewerk#611 angehoben)
• Hilfe an den Bildschirmen, Kurzanleitungen und Handbuch (#131) opengewerk-haustechnik#273, im ersten Lauf und für d7b0b2b (Hilfe neben dem Bildschirm im Büro und ein Leser für Markdown (opengewerk-haustechnik#131) opengewerk#612 und #613)
• Nummernkreise und Sicherung unter den Einstellungen zeigen (#127) opengewerk-haustechnik#290 für 069499e (Nummernkreise und Sicherung unter den Einstellungen ins Fundament holen (opengewerk-haustechnik#127) opengewerk#617); für a76d52b mit demselben Submodul endete es ohne Befund

Jedes Mal lief das Review im Fundament für den Head ohne Befund, der Baum des geprüften Heads war der des gemergten Commits, der Beleg stand von Hand am Pull Request, und gemergt wurde erst nach einer Entscheidung des Maintainers.

Vorschlag

Ein Schritt vor dem Agenten, wie "Neuen Pin des Reviews belegen" (#34): für jedes geänderte Gitlink in diff.patch aus dem öffentlichen Repository des Submoduls und ohne Zugangsdaten festhalten, ob der neue Commit auf main liegt, die Commits dazwischen, die geänderten Dateien und den Diff. Aus dem PR stammen nur die beiden Commits als Namen. Das Review kann dann den Stand des Submoduls selbst lesen, statt ihn offen zu lassen.

Abnahme

• Ein PR, der nur ein Submodul um Commits anhebt, endet nicht rot, weil der Diff des Submoduls fehlt.
• Der Beleg entsteht ohne Zugangsdaten und ohne Code aus dem PR auszuführen.