Repository navigation
Security-Review belegt einen neuen Pin aus dem Repository des Workflows - #34
Merged
Merged
Conversation
This was referenced Oct 10, 2026
Merged
Security-Review: Freigabe, zweites Konto, Nachweis eines neuen Pins
opengewerk/opengewerk-website#21
Merged
Musiker15
added a commit
to opengewerk/opengewerk-api-spec
that referenced
this pull request
Oct 10, 2026
) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an opengewerk/opengewerk-kanzlei#49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
Musiker15
added a commit
to opengewerk/opengewerk-kanzlei
that referenced
this pull request
Oct 10, 2026
) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an #49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
Musiker15
added a commit
to opengewerk/opengewerk
that referenced
this pull request
Oct 10, 2026
…589) Hebt den Aufruf des Security-Reviews auf den Stand von opengewerk/.github#32, #33 und #34. Entschieden von Moritz am 10.10.2026. ## Was sich ändert - **Freigabe oder Änderungen verlangen** (opengewerk/.github#32): Das Review wird wieder als Review am PR gepostet, wie beim lokalen Reviewer. Mit Befund oder unklarem Ergebnis verlangt es Änderungen. Ohne Befund gibt es den PR eines Mitglieds frei. Ein PR von außen bekommt ohne Befund nur einen Kommentar, weil über ihn ein Modell urteilt, das Text aus dem PR lenken kann. Möglich ist das durch die Einstellung der Organisation, dass GitHub Actions PRs freigeben darf. - **Zweites Konto** (opengewerk/.github#33): Ist das API-Guthaben des ersten Kontos aufgebraucht, läuft das Review noch einmal mit einem zweiten Konto. Auch das zweite meldet sich über Workload Identity Federation an, ohne gespeicherten Schlüssel. - **Nachweis eines neuen Pins** (opengewerk/.github#34): Hebt ein PR diesen Aufruf an, holt der Workflow vor dem Review aus dem öffentlichen Repository, ob der neue Commit auf `main` liegt, die Commits dazwischen und den Diff der Workflow-Datei. Im ersten Lauf dieses PRs blieb der neue Commit in drei von fünf Repositories ein offener Prüfpunkt, weil die Sandbox GitHub nicht erreicht. - `CHANGELOG.md` unter "Geändert", wo es eines gibt. ## Geprüft - Die drei Textprüfungen der CI. - Beides an opengewerk/opengewerk-kanzlei#49 mit einem Prüfcommit, der ein erstes Konto ohne Guthaben nachstellte: Das zweite Konto machte das Review, und das Review verlangte Änderungen. - Dieser PR kommt aus einem Branch des Repositorys. Auf ihm läuft also schon das Review des neuen Stands, mit dem Nachweis seines eigenen Pins, und ohne Befund gibt es ihn frei.
2 tasks
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Beim Anheben der Aufrufe auf #32 und #33 kamen drei von fünf Reviews mit "findings" zurück: opengewerk/opengewerk-kanzlei#50, opengewerk/opengewerk-website#21 und opengewerk/opengewerk-api-spec#32. Ein Befund im Code war es jeweils nicht. Der Agent sah nur, dass der PR eine neue SHA dieses Workflows anheftet, konnte den Commit aber nicht prüfen, weil die Sandbox kein Netz zu GitHub hat. Das blieb ein offener Prüfpunkt. Beheben statt hinnehmen, entschieden von Moritz am 10.10.2026.
Was sich ändert
.github/workflows/nachopengewerk/.github/.github/workflows/security-review.yml@<sha>. Kommt eine neue SHA dazu, klont er dieses öffentliche Repository ohne Zugangsdaten und schreibt.security-review/pinned-review-workflow.md. Darin steht:mainliegt oder sich gar nicht holen lässtsecurity-review.yml; ohne alten Pin die ganze Dateimainliegt oder sich nicht holen lässt, ist ein Befund.Ein Mitglied, das im eigenen PR einen anderen Pin setzt, bestimmt damit weiter auch diesen Schritt. Das bleibt die Grenze aus #31, CODEOWNERS für
.github/**ist eine eigene Entscheidung.Geprüft
c6ed917auf10111be: aufmainja, die zwei Commits Security-Review gibt frei oder verlangt Änderungen #32 und Security-Review weicht ohne Guthaben auf ein zweites Konto aus #33, eine Datei, Diff.mainnein..github/workflows/zählt nicht.