Repository navigation
Nachweis eines neuen Pins enthält die ganze Workflow-Datei - #35
Merged
Merged
Conversation
This was referenced Oct 10, 2026
Security-Review: Freigabe, zweites Konto, Nachweis eines neuen Pins
opengewerk/opengewerk-website#21
Merged
Merged
Musiker15
added a commit
to opengewerk/opengewerk-api-spec
that referenced
this pull request
Oct 10, 2026
) - Docker stoppt, bevor sudo abgeschaltet wird, und beides wird geprüft: Der Läufer gehört zur Gruppe docker, und ein Container mit der Wurzel des Hosts wäre ein zweiter Weg zu root. - Den Checkout, in dem der Agent schreiben kann, entfernt ein Schritt gleich nach ihm, bevor der Post-Schritt von `actions/checkout` dort git aufruft. - Lässt sich das Review am PR nicht ablegen, steht der Status auf `error` statt dauerhaft auf "läuft". - Das Restrisiko der wieder erlaubten User Namespaces steht als Kommentar im Workflow. - Mit dabei: opengewerk/.github#35, der Nachweis eines neuen Pins enthält die ganze Workflow-Datei. Geprüft auf dem Läufer mit dem Test-PR opengewerk/opengewerk-kanzlei#51, dessen Aufruf auf den Prüfcommit zeigte: alle Jobs grün, Docker und sudo abgeschaltet, Checkout vor dem Post-Schritt entfernt, Status gesetzt. Das Review dieses PRs liest den Diff des neuen Pins aus `.github`.
Musiker15
added a commit
to opengewerk/opengewerk-kanzlei
that referenced
this pull request
Oct 10, 2026
) - Docker stoppt, bevor sudo abgeschaltet wird, und beides wird geprüft: Der Läufer gehört zur Gruppe docker, und ein Container mit der Wurzel des Hosts wäre ein zweiter Weg zu root. - Den Checkout, in dem der Agent schreiben kann, entfernt ein Schritt gleich nach ihm, bevor der Post-Schritt von `actions/checkout` dort git aufruft. - Lässt sich das Review am PR nicht ablegen, steht der Status auf `error` statt dauerhaft auf "läuft". - Das Restrisiko der wieder erlaubten User Namespaces steht als Kommentar im Workflow. - Mit dabei: opengewerk/.github#35, der Nachweis eines neuen Pins enthält die ganze Workflow-Datei. Geprüft auf dem Läufer mit dem Test-PR #51, dessen Aufruf auf den Prüfcommit zeigte: alle Jobs grün, Docker und sudo abgeschaltet, Checkout vor dem Post-Schritt entfernt, Status gesetzt. Das Review dieses PRs liest den Diff des neuen Pins aus `.github`.
Musiker15
added a commit
to opengewerk/opengewerk
that referenced
this pull request
Oct 10, 2026
…590) - Docker stoppt, bevor sudo abgeschaltet wird, und beides wird geprüft: Der Läufer gehört zur Gruppe docker, und ein Container mit der Wurzel des Hosts wäre ein zweiter Weg zu root. - Den Checkout, in dem der Agent schreiben kann, entfernt ein Schritt gleich nach ihm, bevor der Post-Schritt von `actions/checkout` dort git aufruft. - Lässt sich das Review am PR nicht ablegen, steht der Status auf `error` statt dauerhaft auf "läuft". - Das Restrisiko der wieder erlaubten User Namespaces steht als Kommentar im Workflow. - Mit dabei: opengewerk/.github#35, der Nachweis eines neuen Pins enthält die ganze Workflow-Datei. Geprüft auf dem Läufer mit dem Test-PR opengewerk/opengewerk-kanzlei#51, dessen Aufruf auf den Prüfcommit zeigte: alle Jobs grün, Docker und sudo abgeschaltet, Checkout vor dem Post-Schritt entfernt, Status gesetzt. Das Review dieses PRs liest den Diff des neuen Pins aus `.github`.
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Nachtrag zu #34. Der Nachweis eines neuen Pins wirkt: Am Anheben von opengewerk/opengewerk-website#21 auf
243df62hat der Agent den Pin, die drei Commits und den Diff geprüft und darin nichts gefunden. Offen blieb trotzdem ein Punkt. Er sah nur den Diff und nicht die ganze Datei, konnte also nicht belegen, worausTRUSTEDabgeleitet wird, das über Freigabe oder Kommentar entscheidet. Die anderen vier Repositories kamen mit demselben Diff ohne Befund durch.Was sich ändert
security-review.ymldes neuen Commits als.security-review/pinned-review-workflow-<sha>.ymlab und nennt den Pfad im Nachweis. Ohne alten Pin stand sie bisher eingebettet im Nachweis, jetzt liegt sie in beiden Fällen als eigene Datei vor.Geprüft
c6ed917auf243df62: Nachweis wie bisher, dazu die ganze Datei (39 KB) unter dem genannten Pfad.