Repository navigation
Security-Review gibt frei oder verlangt Änderungen - #32
Merged
Merged
Conversation
Wie der Reviewer davor: mit Befund oder unklarem Ergebnis Request changes, ohne Befund Approve. Einen PR von außen gibt das Review nie frei, er bekommt ohne Befund nur einen Kommentar: ein Modell urteilt dort über Text, der sich darauf anlegen lässt. Möglich, seit die Organisation GitHub Actions das Freigeben erlaubt.
This was referenced Oct 10, 2026
Security-Review: Freigabe, zweites Konto, Nachweis eines neuen Pins
opengewerk/opengewerk-kanzlei#50
Merged
Merged
Security-Review: Freigabe, zweites Konto, Nachweis eines neuen Pins
opengewerk/opengewerk-website#21
Merged
Musiker15
added a commit
to opengewerk/opengewerk-api-spec
that referenced
this pull request
Oct 10, 2026
) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an opengewerk/opengewerk-kanzlei#49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
Musiker15
added a commit
to opengewerk/opengewerk-kanzlei
that referenced
this pull request
Oct 10, 2026
) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an #49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
Musiker15
added a commit
to opengewerk/opengewerk
that referenced
this pull request
Oct 10, 2026
…589) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an opengewerk/opengewerk-kanzlei#49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Wunsch von Moritz vom 10.10.2026: Das Review soll wie der Reviewer davor (MorlockNinja) freigeben oder Änderungen verlangen, statt nur zu kommentieren. Die Organisation erlaubt GitHub Actions seit heute das Freigeben von Pull Requests (Settings, Actions, General, Workflow permissions).
Der Commit-Status PR-Security-Review bleibt wie er ist. Eine verlangte Änderung blockiert den Merge technisch nur, wo eine Regel Freigaben verlangt; in den Repositories der Organisation sind es 0.
Danach heben die fünf Aufrufe den Commit an.